20165309 《网络对抗技术》实验一:PC平台逆向破解

20165309 《网络对抗技术》实验一:PC平台逆向破解


目录


一、实践目标

  • 本次实践的对象是一个名为pwn1的linux可执行文件。该程序正常执行流程是:main调用foo函数,foo函数会简单回显任何用户输入的字符串。
  • 该程序同时包含另一个代码片段,getShell,会返回一个可用Shell。正常情况下这个代码是不会被运行的。
  • 我们实践的目标就是想办法运行这个代码片段,然后学习如何注入运行任何Shellcode。

返回目录


二、基础知识

  • 什么是漏洞?漏洞有什么危害?
    • 我觉得漏洞就是攻击者进行未授权访问和破坏的“机会”,也是程序产生非预期行为的隐患。
    • 漏洞会导致诸多安全问题,甚至会影响到软、硬件设备。被侵入后,我们的数据、隐私等会很容易被窃取、利用,所以,勤打补丁很重要。
  • 掌握NOP, JNE, JE, JMP, CMP汇编指令的机器码
    • 我们可以利用objdump -d得到汇编代码,然后对应起来看汇编指令和机器码。(以下指令的机器码均在括号中标出)
    • NOP:“NULL”,一般用来控制CPU的时间周期,达到时钟延时的效果。(90)
    • JNE:条件转移指令,如果不相等则跳转。(75)
    • JE:条件转移指令,如果相等则跳转。(74)
    • JMP:无条件转移指令可转到内存中任何程序段。段内直接短转Jmp short(EB)段内直接近转移Jmp near(E9)段内间接转移Jmp word(FF)段间直接远转移Jmp far(EA)。
    • CMP:比较指令,CPU将目的操作数和源操作数做减法从而根据运算结果修改标志位的值,然后用相应的跳转指令来进行选择执行哪一段代码。
    • 推荐一波参考资料:汇编指令和机器码的对应表汇编指令机器码对应列表
  • 反汇编
    • objdump -d : 将代码段反汇编。
    • objdump -S : 将代码段反汇编的同时,将反汇编代码与源代码交替显示,编译时需要使用-g参数调试信息。
    • objdump -l : 反汇编代码中插入文件名和行号。
    • objdump -j section : 仅反汇编指定的section。
    • objdump -t :输出目标文件的符号表。
    • objdump -h :输出目标文件的所有段概括。
    • objdump -x :以某种分类信息的形式把目标文件的数据组成输出,可查到该文件的的所有动态库。
  • 十六进制编程器
    • 在VIM里时我们可以通过如下方式使用:
      • :%!xxd :进入十六进制模式。
      • :%!xxd -r :退出十六进制模式。

返回目录


三、实验原理、内容及步骤

1.直接修改程序机器指令,改变程序执行流程

1.1实验原理

程序中的main函数会通过call指令调用foo这个函数,实验的这一环节就是要改其地址、换其函数、实现“想要”的功能(详见下述步骤)。

1.2内容及步骤
  • 首先,来找一找共享文件夹的“pwn1”在哪儿:
  • 然而,我们发现,它现在运行不了:
  • 因为需要装个支持32位程序的库,这里参考了学长的博客,其中,用的更新源来自解决kali更新源时出现签名无效问题

  • 现在可行了,如图可见foo函数的功能:
  • 用反汇编,看一看实验核心函数的部分,这里,我们重点关注main函数的call指令这一行:call指令对应的e8,我们要做的就是把四字节的偏移量ff ff ff d7(小端序,补码)换成getShell函数对应的。


  • call指令在执行时,会EIP当前的值,也就是下一条指令的地址——0x080484ba压栈,然后修改寄存器EIP,将EIP指向foo函数的起始地址(因为EIP+偏移量= 0x080484ba + 0xffffffd7 = 0x08048491目的地址)。
  • 所以要修改的是call指令的偏移量,由计算0x0804847d - 0x080484ba = 0xffffffc3,简而言之,要把d7换成c3了。在vim下修改:如下图指令进入十六进制模式,然后定位,换后回到二进制模式。


  • 保存退出后,我们可以看到call函数使程序跳转到了getShell函数。
  • 运行后,我们实现出了shell~

2.通过构造输入参数,造成BOF攻击,改变程序执行流

2.1实验原理
  • 通过观察上一环节的反汇编页面,可知foo函数中使用了gets函数,该函数不会检查用户输入的长度,通过“栈溢出”覆盖栈中保存的RET地址,可以改变程序的执行流。
  • 我们这里要做的就是利用foo函数的Bof漏洞,构造一个攻击输入字符串,覆盖返回地址,触发getShell函数。
2.2内容及步骤
  • 我们要确认一下字符串的缓冲区长度,进gdb调试,输入字符串如1111111122222222333333334444444455555555,发生段错误产生溢出。(注意EIP的值,是ASCII 5)

  • 如果输入字符串1111111122222222333333334444444412345678,那1234这四个数最终会覆盖到堆栈上的返回地址,进而CPU会尝试运行这个位置的代码。那只要把这四个字符替换为getShell的内存地址,输给pwn2,pwn2就会运行getShell。
  • 这里的字节序是小端序,getShell的地址(0x0804847d)放在字符串中就是\x7d\x84\x04\x08
  • 使用输出重定向“>”将perl生成的字符串存储到文件input中,再用16进制查看指令xxd查看input文件的内容是否如预期,然后将input的输入通过管道符“|”作为pwn2的输入,再现shell功能:
  • PS.看到了不用perl语言的一种方式:

3.注入Shellcode并执行

3.1实验原理
  • 植入代码的构造类型(NSR、RNS、AR),可学习缓冲区溢出攻击这篇报告。实验中用的是RNS类型。
  • 在实际的应用中,凡是用来注入的机器指令段都通称为shellcode,像添加一个用户、运行一条指令,注入shellcode即返回地址为shellcode的起始地址。
3.2内容及步骤
  • 安装execstack程序以便后续设置易于攻击的环境:apt-get install execstack
  • 准备工作(搬运一下老师的实验指导):
root@KaliYL:~# execstack -s pwn1    //设置堆栈可执行
root@KaliYL:~# execstack -q pwn1    //查询文件的堆栈是否可执行
X pwn1
root@KaliYL:~# more /proc/sys/kernel/randomize_va_space 
2
root@KaliYL:~# echo "0" > /proc/sys/kernel/randomize_va_space //关闭地址随机化
root@KaliYL:~# more /proc/sys/kernel/randomize_va_space 
0
  • 构造RNS攻击结构:<32字节任意数据> + <4字节 RET覆盖地址> + <NOP垫> + <shellcode>,最后一个字符千万不能是\x0a
  • 注入:
  • 再开另外一个终端,用gdb来调试pwn3这个进程。
  • 在gdb中连接进程,在foo函数的RET位置设置断点,在断点处暂停后,查看栈的情况:

  • NOP垫的开始地址是0xffffd34c,shellcode在其基础上加4字节,于是修改\x4\x3\x2\x1\x50\xd3\xff\xff。攻击成功:

返回目录


四、问题与解决

  • 问题1:报错bash: ./pwn1: 没有那个文件或目录
  • 解决1:上述博客 三、1.2 中已详解。
  • 注意2:十六进制下修改地址后要换回二进制再保存退出。

返回目录


五、实验收获

我觉得这个实验在操作上是很容易的,我也算是切身领会了BOF攻击神奇的乐趣,但在理解方面我还需要下一些功夫,有些知识自己看的时候并不能弄清楚,上课听老师讲完才知道,自学成效堪忧...还有一点收获是:谨防入坑。

返回目录

posted @ 2019-03-16 22:16  20165309吴思佳  阅读(160)  评论(0编辑  收藏  举报