漫谈空指针漏洞防护技术（提高篇）

1 提高篇之：空指针的利用

前面主要介绍了空指针的一些概念和相关的知识，了解了什么是空指针，对于由野指针导致的空指针漏洞不是今天的重点。接下来主要就针对指向零页内存的空指针漏洞做详细的介绍。

此类漏洞利用主要集中在两种方式上：

对于第一种情况可以利用NULL指针来绕过条件判断或是安全认证。比如X.0rg空指针引用拒绝访问漏洞（CVE-2008-0153 ），如下图对比修改补丁前后的对比：

从代码补丁可以看出该漏洞利用NULL指针改变程序流程来触发漏洞。

针对第二种情况，在某些情况下零页内存也是可以被使用，比如下面两种情况：

接下来结合ZwAllocateVirtualMemory API函数的调用直观感受在win7与win8系统中零页内存分配的差异。

1.1 ZwAllocateVirtualMemory基本介绍

zwAllocateVirtualMemory函数在指定进程的虚拟空间中申请一块内存，那是不是只要在内存申请空间就会调用zwAllocateVirtualMemory函数呢？调用zwAllocateVirtualMemory需要根据实际的情况。

堆的分配、使用、回收都是通过微软的API来管理的，最常见的API是malloc和new。在底层调用是HeapAlloc，同时通过HeapCreate来创建堆。对zwAllocateVirtualMemory函数的调用情况是：

. HeapCreate->RtlCreateHeap->ZwAllocateVirualMemory,这里会直接申请一大块内存，至于申请多大的内存，由进程PEB结构中的字段决定，HeapSegmentReserve字段指出要申请多大的虚拟内存，HeapSegmentCommit指明要提交多大内存。

图中看出默认申请大小是0×100000，默认提交大小是0×2000。下图是利用Heapcreate函数调用zwAllocatevirtualMemory时的函数调用栈关系。

图中展示了函数的调用过程。

c. 直接利用zwAllocateVirtualMemory分配内存，对于zwAllocateVirtualMemory函数，微软没有给出公开的文档，但是可以通过相关资料或是逆向来了解该函数的使用方式。直接利用zwAllocateVirtualMemory函数分配内存首先加载函数所在模块，同时获取该函数的符号地址。由于该函数提供了比较全面的参数，利用此函数来分配内存空间更加灵活多变。

1.2 ZwAllocateVirtualMemory函数知识

zwAllocateVirtualMemory该函数在指定进程的虚拟空间中申请一块内存，该块内存默认将以64kb大小对齐。

NTSYSAPI NTSTATUS NTAPI **ZwAllocateVirtualMemory** (
IN HANDLE *ProcessHandle*,
IN OUT PVOID **BaseAddress*,
IN ULONG *ZeroBits*,
IN OUT PULONG *RegionSize*,
IN ULONG *AllocationType*,
IN ULONG *Protect*
);

两个主要参数：

返回值

如果内存空间申请成功会返回0，失败会返回各种NTSTATUS码。

从zwAllocateVirtualMemory说明来看，本想利用BaseAddress参数在零页内存中分配空间，但是当BaseAdress指定为0时，系统会寻找第一个未使用的内存块来分配，而不是在零页内存中分配。那么如何才能分配到零页内存呢？

1.3 零页内存分配之实例win7 vs win8

了解了zwallocatevirtualmemory的用法，就结合实例来看看如何利用该函数进行零页内存分配。前面介绍将BaseAdress设置为0时，并不能在零页内存中分配空间，就需要利用其它方式在零页内存分配空间。在AllocateType参数中有一个分配类型是MEM_TOP_DOWN,该类型表示内存分配从上向下分配内存。那么此时指定 BaseAddress为一个 低地址，例如 1，同时指定分配内存的大小 大于这个值 ，例如8192（一个内存页），这样分配成功后 地址范围就是 0xFFFFE001（-8191） 到 1把0地址包含在内了，此时再去尝试向 NULL指针执行的地址写数据，会发现程序不会异常了 。通过这种方式我们发现在0地址分配内存的同时，也会在高地址（内核空间）分配内存（当然此时使用高地址肯定会出错，因为这样在用户空间）。

下面就举个例子看如何在零页分配内存

了解windows编程的情况下，对上面的代码不难理解，获取模块句柄，获取zwAllocateVirtualMemory函数地址，并传递参数调用该函数，其中baseaddress的值为4，参数类型中包含了MEM_TOP_DOWN,即内存由上向下分配。所以如果成功的话，将把零页内存中的地址4-0都会分配出去；函数返回0表示内存分配成功。然后再给0地址赋值打印，对0地址重新赋值后再次打印，查看结果。

为了能对比win7与win8系统运行结果的差异，需要准备两个干净的系统win7和win8，这里采用的都是32位系统。

在win7系统中直接编译运行该程序，运行结果如下

从显示结果来看，利用zwAllocateVirtualMemory函数，确实在零内存页分配了4-0地址的空间，也就是说我们可以利用zwAllocateVirtualMemory在零页内存中成功分配空间。

同时在win8系统中同时编译该程序，如果F5调试运行结果如下图：

或是CTRL+F5非调试运行，其结果如下图：

在win8系统中在调用zwallocatevirtualmemory后，函数返回了非0，返回值为0Xc00000f0。最终没能在零页内存分配空间。也就是说在win8系统中对零页内存做了安全防护，导致在零页地址分配内存时失败。

接下来看看win8系统中到底对NULL Pointer也就是零页内存做了哪些防护。

2 提高篇：windows零页内存防护机制

win8系统对零页内存防护机制通过搜索引擎可以查到： **在**** WIN8 ****系统中利用了内核进程结构**** EPROCESS ****中的**** flags ****字段的**** Vdmallowed *\*标志来判断是否允许访问零页内存。** 但是知其然而不知其所以然不是我们追求的目标。我们要做的就是在不依靠其他文献的条件下通过逆向和动态调试技术来剖析win8对零页内存的防护机制。

2.1 搭建内核调试环境

探索Win8的零页内存保护机制在内核中的实现，首先需要搭建一个能调试内核的环境。利用上面给出的例子结合内核调试来分析安全机制。关于如何搭建内核环境在之前的文章中已经介绍过，这里再累赘一下。

5.1.1 虚拟机及调试环境

搭建内核调试环境，采用双机调试模式，在虚拟机中安装win8系统同时配置win8调试模式。

Vmware安装win8系统就不在详解。系统启动后:

管理员权限打开CMD

按照上面的步骤配置好后，关闭虚拟机，打开win8虚拟机配置选项，删除并行端口，添加串行端口，同时配置串行端口，如下图：

配置好vmware后启动虚拟机进入调试模式，如下图：

5.1.2 配置启动windbg

双机模式调试内核需要配置windbg工具，现在主机中安装windbg；创建一个windbg的快捷方式，并在属性->目标中填入如下内容：

"C:\program file\WinDbg(x64)\windbg.exe" -b -k com:pipe,port=\.\pipe\com_1,baud=115200,resets=0,pipe

Windbg路径根据安装路径不同而调整。

启动windbg，由于我的主机是win7系统如果直接双击windbg快捷方式启动

这是缺少必要的权限，所以在启动windbg快捷方式时，需要以管理员的权限启动，启动完成后就可以和虚拟机中的win8系统进行内核级调试，启动之后的结果如下图:

到此内核调试的基本环境创建好了，为了能够更加直观的查看windows系统函数及调用关系需要为windbg配置符号表，这样windbg可以识别出windows标准的导出符号，同时为了能够更方便的调试nullpointer，也需要加载该程序的符号表。

到此内核调试环境搭建完成。

2.2 用户态及内核态跨栈调试

该部分是动态调试的关键部分，也是注意事项最多的一节。

5.2.1 内核调试用户态程序

在上面配置好环境后，在windbg中运行G命令，启动调试。启动程序后，同时在windbg中按住CRTL+BREAK断到调试器中。此时win8系统处于中断状态，不会再运行任何指令。

调试器断下来

我们知道在win7与win8中调用zwallocatevirtualmemory时由于零页内存保护机制的原因，win8系统不能在零页内存分配空间。那么就从调试nullpointer入手，通过调用zwallocatevirtualmemory调试内核态程序来剖解安全机制。

但是现在windbg处于内核调试状态，查看所有启动的进程

需要切换到nullpointer进程中。加载了nullpointer符号表。查看main函数的反汇编如下图所示：

5.2.2 用户态进入内核态

跟进该函数，最后进入

进入了sysenter指令之前，对windows系统有所了解的话，就知道该函数利用该调用进入快速系统调用也就是说此时将由用户态进入内核态。

SYSENTER用来快速调用一个0层的系统过程。SYSENTER是SYSEXIT的同伴指令。该指令经过了优化，它可以使将由用户代码（运行在3层）向操作系统或执行程序（运行在0层）发起的系统调用发挥最大的性能。

在调用SYSENTER指令前，软件必须通过下面的MSR寄存器，指定0层的代码段和代码指针，0层的堆栈段和堆栈指针：

2.IA32_SYSENTER_EIP：包含一个32位的0层的代码指针，指向第一条指令。

3.IA32_SYSENTER_ESP：包含一个32位的0层的堆栈指针。

MSR寄存器可以通过指令RDMSR/WRMSR来进行读写。寄存器地址如下表。这些地址值在以后的intel 64和IA32处理器中是固定不变的。

为了能保证我们调试的**** NT!NtAllocatevirtualMemory ****函数刚好是**** nullpointer ****调用的，需要给**** NT!NtAllocatevirtualMemory ****函数下断点，意思是只在指定进程调用该函数时才断下来。** 待函数断下来后，同时查看函数调用栈如下图 **:

从图中调用栈可知，此时断下来的NT!NtAllocatevirtualMemory刚好是nullpointer引用的内核函数。此时已经进入内核调试状态。