OD: Exploit Me - Overwrite Return Address

修改邻接变量的方法对代码环境限制比较多，更通用、更强大的方法是修改 EBP、返回地址等状态值。

为了方便调试，修改之前的代码如下：

 #include<stdio.h>
 #include<stdlib.h>
 #include<string.h>

 #define PASSWORD "1234567"

 int verify_password(char *password)
 {
     int authenticated=0x03050709;
     char buffer[];     // add local buf to be overflowed
     authenticated=strcmp(password,PASSWORD);
     strcpy(buffer, password);  // overflow here
     return authenticated;
 }

 int main()
 {
     int valid_flag=;
     char password[];
     if(!freopen("password.txt","r",stdin)) // 非打印字符不便于从console输入，故 redirect stdin
     //FILE *fp;
     //if(!(fp=fopen("password.txt","rw+")))
     {
         printf("file open error!\n");
         exit();
     }
     scanf("%s",password);
     //fscanf(fp,"%s",password);
     printf("password input: %s\n",password);
     valid_flag=verify_password(password);
     if(valid_flag){
         printf("Incorrect password!\n\n");
     }
     else
     {
         printf("Congratulation! You have passed the verification!\n\n");
     }
     //fclose(fp);
     return ;
 }

在 password.txt 中存储内容为 abcdefg 时，OD 调试 exp_me.exe，执行完第 12 行 strcpy 后的栈帧如下图所示：

如上图，此时栈帧中 authenticated 的值（0x0012FAE8）为 1，表示验证未通过。EBP : 0x0012FAEC，前栈帧 EBP : 0x0012FF48，返回地址 : 0x0040ECD8。

 0040ECCC  |. 8D95 FCFBFFFF     LEA EDX,DWORD PTR SS:[EBP-]
 0040ECD2  |.                 PUSH EDX
 0040ECD3  |. E8 2D23FFFF       CALL exp_me.
 0040ECD8  |. 83C4            ADD ESP,
 0040ECDB  |.  FC           MOV DWORD PTR SS:[EBP-],EAX
 0040ECDE  |. 837D FC         CMP DWORD PTR SS:[EBP-],
 0040ECE2  |.  0F             JE SHORT exp_me.0040ECF3
 0040ECE4  |.  AC404200       PUSH OFFSET exp_me.??_C@_0BG@GFGB@Incorr>;  /format = "Incorrect password!

 "
 0040ECE9  |. E8 F225FFFF       CALL exp_me.printf                       ;  \printf
 0040ECEE  |. 83C4 04           ADD ESP,4
 0040ECF1  |. EB 0D             JMP SHORT exp_me.0040ED00
 0040ECF3  |> 68 6C404200       PUSH OFFSET exp_me.??_C@_0DD@FPBB@Congra>;  /format = "Congratulation! You have passed the verification!

 "
 0040ECF8  |. E8 E325FFFF       CALL exp_me.printf                       ;  \printf
 0040ECFD  |. 83C4 04           ADD ESP,4
 0040ED00  |> 33C0              XOR EAX,EAX
 0040ED02  |. 5F                POP EDI
 0040ED03  |. 5E                POP ESI

从上面的反汇编代码可以看到，0x0040ECD8 处的代码对应源码第 30 行后恢复栈帧处，如果能将此时的返回地址覆盖为 0x0040ECF3，就能跳过错误验证流程，直接执行源码中第 36 行的 else 分支，进入验证正确后的执行流程。

用 UltraEdit 将 password.txt 修改为如下内容：

注意，CPU 为 Little_Endian 模式，最后的四字节返回地址（0x0040ECF3）要反写成 E3 EC 40 00

在返回地址之前的前栈帧地址 0x0012FF48 不能写为 48 FF 12 00，因为这里的 00 会被 scanf 当作截断符中止读取，导致内容读取不够，覆盖返回地址失败（只能覆盖到 EBP）。

修改 password.txt 后，OD 调试结果如下：

紧接着出现如下错误，因为 EBP 覆盖成了错误的 0xAA12FF48 而不是 0x0012FF48，导致栈帧不平衡。

这个问题留着以后再学习吧，今天到此了，睡觉去（2014-3-31 23:31:55）。