[发明专利]一种构造合法堆栈返回值绕过函数调用检测的方法与系统有效
| 申请号： | 201610128818.0 | 申请日： | 2016-03-08 |
| 公开（公告）号： | CN105808256B | 公开（公告）日： | 2017-06-23 |
| 发明（设计）人： | 周志刚 | 申请（专利权）人： | 武汉斗鱼网络科技有限公司 |
| 主分类号： | G06F9/44 | 分类号： | G06F9/44 |
| 代理公司： | 武汉东喻专利代理事务所(普通合伙)42224 | 代理人： | 向彬 |
| 地址： | 430074 湖北省武汉市武汉东湖*** | 国省代码： | 湖北;42 |
| 权利要求书： | 查看更多 | 说明书： | 查看更多 |
| 摘要： | |||
| 搜索关键词： | 一种 构造 合法 堆栈 返回 绕过 函数 调用 检测 方法 系统 | ||
1.一种构造合法堆栈返回值绕过函数调用检测的方法，其特征在于，包括：构造递归调用往堆栈中多次压入进程的d3d9.dll模块的代码段中的任一连续两条汇编指令序列pop ebp,retn的地址，其中压入地址的次数大于或等于堆栈检测调用的层数；在往堆栈中多次压入上述地址后，构造系统函数CreateDeviceEx需要的参数并压入堆栈，并往堆栈中再次压入上述地址后，跳转到系统函数CreateDeviceEx；其具体实现步骤为：
(1)查找进程的d3d9.dll模块的代码段中的任一连续两条汇编指令序列pop ebp,retn的地址，其中，在进程的d3d9.dll模块的代码段中查找汇编指令序列pop ebp,retn对应的16进制就是0x5D,0xC3，即d3d9.dll模块的代码段中查找连续的值为0x5D,0xC3的指令的地址，pop ebp是用于将堆栈中的值弹出到寄存器EBP中；retn是返回指令，用于从堆栈中弹出返回地址；
(2)构造调用系统函数CreateDeviceEx的函数，该函数用于构造系统函数CreateDeviceEx的参数，然后往堆栈中压入步骤(1)所找到的内存地址，并跳转到系统函数CreateDeviceEx；
(3)构造递归调用函数，该递归调用函数用于构造递归调用来往堆栈中压入步骤(1)中得到的地址，递归的出口则是调用步骤(2)的函数，其中，所述步骤(2)的函数为调用系统函数CreateDeviceEx的函数。
2.如权利要求1所述的构造合法堆栈返回值绕过函数调用检测的方法，所述递归调用往堆栈中压入地址的次数大于等于5。
3.一种构造合法堆栈返回值绕过函数调用检测的系统，其特征在于，包括：第一模块、第二模块以及第三模块；
所述第一模块，用于查找进程的d3d9.dll模块的代码段中的任一连续两条汇编指令序列pop ebp,retn的地址，其中，在进程的d3d9.dll模块的代码段中查找汇编指令序列pop ebp,retn对应的16进制就是0x5D,0xC3，即d3d9.dll模块的代码段中查找连续的值为0x5D,0xC3的指令的地址，popebp是用于将堆栈中的值弹出到寄存器EBP中；retn是返回指令，用于从堆栈中弹出返回地址；
所述第二模块，用于构造调用系统函数CreateDeviceEx的函数，该函数用于构造系统函数CreateDeviceEx的参数，然后往堆栈中压入所述第一模块所找到的内存地址，并跳转到系统函数CreateDeviceEx；
所述第三模块，用于构造递归调用函数，该递归调用函数用于构造递归调用来往堆栈中压入所述第一模块中得到的地址，递归的出口则是调用所述第二模块中的函数，其中，所述第二模块中的函数为调用系统函数CreateDeviceEx的函数。
4.如权利要求3所述的构造合法堆栈返回值绕过函数调用检测的系统，所述递归调用往堆栈中压入地址的次数大于等于5。
该专利技术资料仅供研究查看技术是否侵权等信息，商用须获得专利权人授权。该专利全部权利属于武汉斗鱼网络科技有限公司，未经武汉斗鱼网络科技有限公司许可，擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作，请联系【客服】
本文链接：http://www.vipzhuanli.com/pat/books/201610128818.0/1.html，转载请声明来源钻瓜专利网。
