Как взломать виртуальную таблицу?

Question

Я хотел бы знать, как изменить адрес Test, который находится в виртуальной таблице, на адрес HackedVTable.

void HackedVtable()
{
    cout << "Hacked V-Table" << endl;
}

class Base
{    
public:
    virtual Test()  { cout <<"base";    }
    virtual Test1() { cout << "Test 1"; }
    void *prt;
    Base(){}
};

class Derived : public Base
{
public: 
    Test()
    {
        cout <<"derived";
    }
};

int main()
{    
    Base b1;

    b1.Test(); // how to change this so that `HackedVtable` should be called instead of `Test`?

    return 0;
}

Ответ будет с благодарностью.

Заранее спасибо.

Answer 1

Это работает для 32-битных сборок MSVC (это очень упрощенная версия некоторого производственного кода, которая используется уже более года). Обратите внимание, что ваш метод замены должен явно указывать параметр this (указатель).

// you can get the VTable location either by dereferencing the
// first pointer in the object or by analyzing the compiled binary.
unsigned long VTableLocation = 0U;
// then you have to figure out which slot the function is in. this is easy
// since they're in the same order as they are declared in the class definition.
// just make sure to update the index if 1) the function declarations are
// re-ordered and/or 2) virtual methods are added/removed from any base type.
unsigned VTableOffset = 0U;
typedef void (__thiscall Base::*FunctionType)(const Base*);
FunctionType* vtable = reinterpret_cast<FunctionType*>(VTableLocation);

bool hooked = false;
HANDLE process = ::GetCurrentProcess();
DWORD protection = PAGE_READWRITE;
DWORD oldProtection;
if ( ::VirtualProtectEx( process, &vtable[VTableOffset], sizeof(int), protection, &oldProtection ) )
{
    vtable[VTableOffset] = static_cast<FunctionType>(&ReplacementMethod);

    if ( ::VirtualProtectEx( process, &vtable[VTableOffset], sizeof(int), oldProtection, &oldProtection ) )
        hooked = true;
}

Answer 2

V-таблица - это деталь реализации.

Компилятору не требуется использовать его (это просто самый простой способ реализации виртуальных функций). Но, говоря, что каждый компилятор может (и делает) реализовать его немного по-своему, в результате нет ответа на ваш вопрос.

Если вы спросите, как мне взломать vtable для программы, созданной с:

Компилятор Версия Сборка

Тогда кто-то может знать ответ.

Answer 3

void HackedVtable()
{
    cout << "Hacked V-Table" << endl;
}

class Base
{

public:
       virtual Test()  { cout <<"base";    }
       virtual Test1() { cout << "Test 1"; }
       void *prt;
       Base(){}
};

class Derived:public Base
{
    public: 
           Test() 
           {
                   cout <<"derived";
           }
};

typedef void (*FUNPTR)();
typedef struct
{
   FUNPTR funptr;
} VTable;


int main()
{

    Base b1;
    Base *b1ptr = &b;

    VTable vtable;
    vtable.funptr = HackedVtable;

    VTable *vptr = &vtable;
    memcpy ( &b1, &vptr, sizeof(long) );

    b1ptr->Test();

    //b1.Test(); // how to change this so that HackedVtable() should be called instead of Test()

    return 0;
}

Answer 4

В Mac OS X 10.10.3 + gcc 4.8.3, следующий код работает хорошо.

void HackedVtable()
{
    cout << "Hacked V-Table" << endl;
}

class Base
{    
public:
    virtual void Test()  { cout << "base" << endl;    }
    virtual void Test1() { cout << "Test 1" << endl; }
    void *prt;
    Base(){}
};

class Derived : public Base
{
public: 
    void Test()
    {
        cout << "derived" << endl;
    }
};

int main()
{    
    Base b1;
    Base* pb1 = &b1;

    *(*(void***)pb1) = (void*) HackedVtable;
    pb1->Test();

    //It works for all the Base instance
    Base b2;
    Base* pb2 = &b2;
    pb2->Test();

    //But Derived's virtual function table is separated from Base's
    Derived d1;
    Derived* pd1 = &d1;
    pd1->Test();
    *(*(void***)pd1) = (void*) HackedVtable;
    pd1->Test();

    return 0;
}

Его выход:

$ g++ h.cpp; ./a.out
Hacked V-Table
Hacked V-Table
derived
Hacked V-Table

Я тестирую тот же код под Ubuntu 12.04 + g ++ 4.9.0. Однако это не работает и возникает ошибка сегментации. Похоже, Linux назначает таблицу виртуальных функций в области только для чтения (например, Rodata), чтобы запретить взлом.

Answer 5

Еще один способ добиться того же - проверить аналогичный код:

GObject:

http://en.wikipedia.org/wiki/Gobject

GLib:

http://en.wikipedia.org/wiki/GLib

Вал:

http://en.wikipedia.org/wiki/Vala_%28programming_language%29

Эти ребята хотели работать с объектно-ориентированным языком программирования, но "C ++" не соответствовал их требованиям. Затем они взяли «обычный C» и симулировали объекты с помощью записей и указателей, включая таблицы виртуальных методов. В итоге появился похожий язык под названием «Vala», свой собственный язык «C ++» (со своим собственным V.M.T.).

Другие ссылки по теме:

http://en.wikipedia.org/wiki/Virtual_method_table

http://www.artima.com/insidejvm/ed2/jvmP.html

Приветствие.

Answer 6

Я не думаю, что есть портативный способ. Главным образом из-за оптимизации компилятора и различной архитектуры ABI между каждой целью.

Но C ++ предоставляет вам точно такую ​​же возможность, почему бы не использовать ее?

void HackedVtable()
{
    cout << "Hacked V-Table" << endl;
}

class Base
{
public:
       virtual Test()  { cout <<"base";    }
       virtual Test1() { cout << "Test 1"; }
       void *prt;
       Base(){}
};

class Derived : public Base
{
    public: 
           Test() 
           {
                HackedVtable(); // <-- NOTE
           }
};

int main()
{
    Derived b1; // <-- NOTE

    b1.Test();

    return 0;
}

Answer 7

Обычно это называется "перехват виртуальной таблицы" или что-то в этом роде. Если вы собираетесь использовать его много, то я предлагаю библиотеку SourceHook . Он был разработан для взлома игровых движков с закрытым исходным кодом в игровых модах. Например, он использовался в The Dark Mod до того, как idTech4 стал открытым исходным кодом.

Answer 8

Я не думаю, что vTable находится в области только для чтения, потому что он динамически заполняется. Единственный способ потерпеть неудачу - это когда компилятор абсолютно уверен, какая реализация будет вызываться во время компиляции, и пропустить поиск vTable с помощью прямого вызова функции (де-виртуализация).

РЕДАКТИРОВАТЬ: Как указал @groovyspaceman, я вижу, что я использовал неправильную формулировку. Указатель на член класса vTable является изменяемым, сам vTable генерируется компилятором, и он зависит от системы и компилятора, если он может или не может быть изменен.

Answer 9

ну, это довольно легко понять. Найдите указатель VTAble (в визуальной студии его первые 4/8 байт). Затем перейдите к обычному вызову Test (в ассемблер), и вы увидите, что он переходит к Vtable, а затем к вашей тестовой функции. Для отмены теста просто замените указатель, с которого вы перепрыгнули в VTable.