Linux (x86) Exploit 开发系列教程之二(整数溢出)

(1)漏洞代码

//vuln.c
#include <stdio.h>
#include <string.h>
#include <stdlib.h>
void store_passwd_indb(char * passwd){
}
void validate_uname(char * uname){
}
void validate_passwd(char * passwd){
 char passwd_buf [11];
 unsigned char passwd_len = strlen(passwd); / * [1] * /
 if(passwd_len> = 4 && passwd_len <= 8){/ * [2] * /
  printf(“有效密码\ n”); / * [3] * /
  fflush(stdout);
  strcpy(passwd_buf,passwd); / * [4] * /
 } else {
  printf(“Invalid Password \ n”); / * [5] * /
  fflush(stdout);
 }
 store_passwd_indb(passwd_buf); / * [6] * /
}
int main(int argc,char * argv []){
 if(argc!= 3){
  printf(“Usage Error:\ n”);
  fflush(stdout);
  退出(-1);
 }
 validate_uname(argv [1]);
 validate_passwd(argv [2]);
 返回0;
}

 (2)编译文件

sudo sh -c "echo 0> / proc / sys / kernel / randomize_va_space"
 gcc -g -fno-stack-protector -z execstack -o vuln vuln.c
 sudo chown root vuln
 sudo chgrp root vuln
 sudo chmod + s vuln

 (3)原理:

上述漏洞代码的[1]行显示了一个整数溢出错误。strlen()的返回类型是size_t(unsigned int),它存储在unsigned char数据类型中。因此,任何大于unsigned char的最大支持值(255)的值都会导致整数溢出。因此当密码长度为261时,261将被包裹并存储为“passwd_len”变量中的5!由于这个整数溢出,可以绕过行[2]执行的边界检查,从而导致基于堆栈的缓冲区溢出!

(4)反汇编并绘制出漏洞代码的堆栈布局

gdb-peda$ disassemble validate_passwd 
Dump of assembler code for function validate_passwd:
   0x0804849e <+0>:	push   ebp
   0x0804849f <+1>:	mov    ebp,esp
   0x080484a1 <+3>:	push   edi
   0x080484a2 <+4>:	sub    esp,0x34
   0x080484a5 <+7>:	mov    eax,DWORD PTR [ebp+0x8]
   0x080484a8 <+10>:	mov    DWORD PTR [ebp-0x1c],0xffffffff
   0x080484af <+17>:	mov    edx,eax
   0x080484b1 <+19>:	mov    eax,0x0
   0x080484b6 <+24>:	mov    ecx,DWORD PTR [ebp-0x1c]
   0x080484b9 <+27>:	mov    edi,edx
   0x080484bb <+29>:	repnz scas al,BYTE PTR es:[edi]
   0x080484bd <+31>:	mov    eax,ecx
   0x080484bf <+33>:	not    eax
   0x080484c1 <+35>:	sub    eax,0x1
   0x080484c4 <+38>:	mov    BYTE PTR [ebp-0x9],al
   0x080484c7 <+41>:	cmp    BYTE PTR [ebp-0x9],0x3
   0x080484cb <+45>:	jbe    0x8048500 <validate_passwd+98>
   0x080484cd <+47>:	cmp    BYTE PTR [ebp-0x9],0x8
   0x080484d1 <+51>:	ja     0x8048500 <validate_passwd+98>
   0x080484d3 <+53>:	mov    DWORD PTR [esp],0x8048660
   0x080484da <+60>:	call   0x80483a0 <puts@plt>
   0x080484df <+65>:	mov    eax,ds:0x804a020
   0x080484e4 <+70>:	mov    DWORD PTR [esp],eax
   0x080484e7 <+73>:	call   0x8048380 <fflush@plt>
   0x080484ec <+78>:	mov    eax,DWORD PTR [ebp+0x8]
   0x080484ef <+81>:	mov    DWORD PTR [esp+0x4],eax
   0x080484f3 <+85>:	lea    eax,[ebp-0x14]
   0x080484f6 <+88>:	mov    DWORD PTR [esp],eax
   0x080484f9 <+91>:	call   0x8048390 <strcpy@plt>
   0x080484fe <+96>:	jmp    0x8048519 <validate_passwd+123>
   0x08048500 <+98>:	mov    DWORD PTR [esp],0x804866f
   0x08048507 <+105>:	call   0x80483a0 <puts@plt>
   0x0804850c <+110>:	mov    eax,ds:0x804a020
   0x08048511 <+115>:	mov    DWORD PTR [esp],eax
   0x08048514 <+118>:	call   0x8048380 <fflush@plt>
   0x08048519 <+123>:	lea    eax,[ebp-0x14]
   0x0804851c <+126>:	mov    DWORD PTR [esp],eax
   0x0804851f <+129>:	call   0x8048494 <store_passwd_indb>
   0x08048524 <+134>:	add    esp,0x34
   0x08048527 <+137>:	pop    edi
   0x08048528 <+138>:	pop    ebp
   0x08048529 <+139>:	ret    
End of assembler dump.

 

(5)当输入长度为261的密码,可以绕过边界检查,并允许我们覆盖堆栈中的返回地址。测试:

 EBP、EIP被覆盖为四个A

(6)堆栈布局显示返回地址位于缓冲区'passwd_buf'的偏移(0x18)处。0x18计算如下:0xb+0x1+0x4+0x4+0x4,因此当用户输入“A” * 24 + “B” * 4 + “C” * 233,以A覆盖passwd_buf,passwd_len,对齐空间,edi和调用者的ebp,以“BBBB”覆盖返回地址,以"C"覆盖剩余空间.

(6)找出shellcode的起始地址。ret_addr可以选择100个NOP里。

攻击代码如下:

运行,获取到root shell权限

 

posted @ 2019-05-14 21:51 南有乔木1234 阅读(...) 评论(...) 编辑 收藏