20145325张梓靖 《网络对抗技术》 第2周学习总结

20145325张梓靖 《网络对抗技术》 MAL_逆向与Bof基础

学习目的

  • 通过一些方法,使能够运行本不该被运行的代码部分,或得到shell的使用:
    • 将正常运行代码部分某处call后的目标地址,修改为另一部分我们希望执行、却本不应该执行的代码部分首地址(这需要我们有一定的权限修改可执行文件)
    • 通过缓冲区溢出:输入数据,使其超出缓冲区大小,并覆盖住返回地址(新的返回地址为另一部分我们希望执行、却本不应该执行的代码部分首地址)
    • ......

基础知识

  • objdump -d test :反汇编test
  • more : more命令和cat的功能一样都是查看文件里的内容,但有所不同的是more可以按页来查看文件的内容,还支持直接跳转行等功能
  • nop : 空操作指令,执行指令使程序计数器PC加1,占用一个机器周期
  • ebp esp : 寄存器ebp指向当前的栈帧的底部(高地址),寄存器esp指向当前的栈帧的顶部(低址地)
  • bp : 16位 ebp :32位 rbp :64位
  • info r :info registers , 查看寄存器的情况
  • 缓冲区溢出攻击:是指当计算机向缓冲区内填充数据位数时超过了缓冲区本身的容量,溢出的数据覆盖在合法数据上,当覆盖到堆栈中的返回地址时,将会引起程序错误或运行其他程序
  • call : call指令的机器代码表示为4字节(IA32的ATT格式),0x80 ** ** **,后3个字节为跳转到的指令地址到目前下一条指令的地址的偏移量,即 :
    • 后3个字节的值 + eip(目前所运行的call指令的下一条指令的地址) = 新eip(要跳转到的指令的地址)

直接修改机器指令

  • 可执行文件作用:输入什么字符串就返现相同的字符串

  • 修改机器指令后,希望能够运行可执行文件里的另一部分代码(getshell)

  • 使用vi修改机器指令:

    • 找到call指令对应机器代码处:

    • 通过机器指令修改call后的目的地址,使其运转到getshell代码处:

  • 保存关闭vi后,测试可执行代码是否成功跳转运行getshell:(是的)

缓冲区溢出

  • 使用gdb测试出覆盖住返回地址的字符是在输入字符串中的第几位到第几位:

  • 通过上2张图可以比较得知覆盖返回地址的字符位数,并且在后一张中,可以清楚输入字符的顺序在堆栈中存储是反着来的(也就是在eip中是反着顺序的),所以在后面的输入特定字符串时,需要将覆盖返回地址的那几位字符顺序,与实际中机器代码里的getshell首地址反着来,即\x7d\x84\x04\x0a:

测试可执行代码,发现成功运行了getshell代码

posted @ 2017-02-27 19:29  20145325张梓靖  阅读(230)  评论(0编辑  收藏  举报