Exp1 PC平台逆向破解
1逆向及Bof基础实践说明
1.1实践目标
本次实践的对象是一个名为pwn1的linux可执行文件。
该程序正常执行流程是：main调用foo函数,foo函数会简单回显任何用户输入的字符串。
该程序同时包含另一个代码片段，getShell，会返回一个可用Shell。正常情况下这个代码是不会被运行的。我们实践的目标就是想办法运行这个代码片段。我们将学习两种方法运行这个代码片段，然后学习如何注入运行任何Shellcode。
本次实践的对象是一个名为pwn1的linux可执行文件。
三个实践内容如下：
手工修改可执行文件，改变程序执行流程，直接跳转到getShell函数。 利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。 注入一个自己制作的shellcode并运行这段shellcode。 这几种思路，基本代表现实情况中的攻击目标:
运行原本不可访问的代码片段 强行修改程序执行流 以及注入运行任意代码。
1.2基础知识
熟悉Linux基本操作 能看懂常用指令,如管道（|），输入、输出重定向（>）等。 理解Bof的原理。 能看得懂汇编、机器指令、EIP、指令地址。 会使用gdb,vi。
2直接修改程序机器指令，改变程序执行流程
知识要求：Call指令，EIP寄存器,指令跳转的偏移计算，补码，反汇编指令objdump，十六进制编辑工具
学习目标：理解可执行文件与机器指令
进阶：掌握ELF文件格式，掌握动态技术
2.1下载目标文件pwn1,再进行反汇编。
在终端输入命令
objdump -d pwn1 | more
得到结果如下
再往下拉找到关键
"call 8048491 "是汇编指令 是说这条指令将调用位于地址8048491处的foo函数； 其对应机器指令为“e8 d7ffffff”，e8即跳转之意。 本来正常流程，此时此刻EIP的值应该是下条指令的地址，即80484ba，但如一解释e8这条指令呢，CPU就会转而执行 “EIP + d7ffffff”这个位置的指令。“d7ffffff”是补码,表示-41，41=0x29,80484ba +d7ffffff= 80484ba-0x29正好是8048491这个值，main函数调用foo，对应机器指令为“e8 d7ffffff”，那让它调用getShell，只要修改“d7ffffff”为，"getShell-80484ba"对应的补码就行。用Windows计算器，直接7d-4ba就能得到补码，是c3ffffff。下面修改可执行文件，将其中的call指令的目标地址由d7ffffff变为c3ffffff。
2.2修改指令的目标地址
1.首先应实验要求修改文件名，进行复制
cp pwn1 20164308
2.进入编辑修改
vi 20164308
3.按下Esc，再输入命令，将显示模式切换为16进制模式
：%！xxd
4.查找要修改的内容
/e8 d7
5.修改d7为c3，具体操作为将鼠标移到要修改的位置，按r后输入需要修改成的值
6.转换16进制为原格式
:%!xxd -r
7.存盘退出vi
:wq
8.再反汇编看一下，call指令是否正确调用getShell
objdump -d 20164308 | more
9.运行下改后的代码，会得到shell提示符
./20164308
3通过构造输入参数，造成BOF攻击，改变程序执行流
3.1先进行反汇编查看程序的基本功能
我们的目标是触发getShell函数，利用foo函数有Buffer overflow漏洞，系统只预留了一定的缓冲区，超出部分会造成溢出，目标是覆盖返回地址。上面的call调用foo,同时在堆栈上压上返回地址值:80484ba
3.2 确认输入字符串哪几个字符会覆盖到返回地址
1.调试运行程序gdb
2.确定覆盖位置
查看指令寄存器eip内的值为0x34333231，表示4321,即覆盖了返回地址的值，需要对它进行修改，只要把这四个字符替换为 getShell 的内存地址，输给20164308，20164308就会运行getShell。
3.确认用什么值来覆盖返回地址 getShell的内存地址，通过反汇编时可以看到，即0804847d。根据小字节优先，应该输入11111111222222223333333344444444\x7d\x84\x04\x08。
4.构造输入字符串 因为没法通过键盘输入\x7d\x84\x04\x08这样的16进制值，所以先生成包括这样字符串的一个文件。\x0a表示回车，如果没有的话，在程序运行时就需要手工按一下回车键。再通过xxd查看文件十六进制格式的内容。
5将input的输入，通过管道符“|”，作为20164308的输入，覆盖返回地址。
4. 注入Shellcode并执行
4.1准备工作
1.设置堆栈可执行
2.查询文件的堆栈是否可执行
3.关闭地址随机化，查询是否关闭地址随机化，2为开启，0为关闭
4.2构造字符串
根据实验指导提供的shellcode代码填入，需腾出返回地址
按下回车后不做其他操作
4.3打开另一个终端进行调试
查看进程号
利用gdb的attach端口号调试进程
通过disassemble foo 命令进行反汇编，并设置断点，来查看注入buf的内存地址。
输入c使其继续运行，同时在原来的终端里回车，再返回调试终端。
使用info r esp命令查找地址，再用x/16x 命令加查找出的地址来查看其存放内容。
此处的0x01020304即返回地址的位置，而shellcode就在其后，地址为0xffffd380，根据实验要求，此时我们需要将之前的\x4\x3\x2\x1改为这个地址。退出调试终端，在执行终端输入命令。
攻击成功！！！
5知识点
NOP：NOP指令即“空指令”。NOP指令执行后，不产生任何结果，可编程控制器中的用户程序全部清除后，用户程序存储器中的指令全部变成NOP指令。在调试程序时，若要观察某些指令的影响，而又不想改变指令的步序号，可以把这些指令变成NOP。
JNE：条件转移指令。如果不相等(<>)则跳转，即零标志ZF=0时，转跳。
JE：如果相等(=)则跳转，即零标志ZF=1时，转跳。
JMP：跳转指令又称转移指令。在程序中使用跳转指令后，系统可以根据对不同条件选择执行不同的程序段。
CMP：比较指令，对两数进行相减,进行比较。
漏洞：我认为的漏洞是在程序员想尽方法发明和构建一个完善的操作系统之后，随着使用者的增多慢慢发现系统存在一些可攻击的缺陷或者程序编写的错误，虽然程序员可能会进行修补，但仍会存在潜在的漏洞，这是人类存在的一定的弱点。推出的新系统，虽然有可能解决了之前存在的漏洞，但是新系统同时也会伴随着新的漏洞。而黑客与不法分子的存在使得网络攻防成为了一个矛与盾的争夺。
漏洞的危害：不法分子和黑客可能会借助系统存在的漏洞，对用户的电脑进行攻击，窃取重要信息，放置木马、病毒，进行勒索，严峻的情况可能会泄露国家重要机密、引发国家间的网络战，影响一个国家的存亡。
6实验心得体会
这是接触网络对抗这门课程的第一个实验作业，刚布置作业的时候，我照着实验指导与之前学长学姐的博客跟着做了一遍，一开始我不懂原理，过程之中遇到许多问题，跌跌撞撞做到第三个小实验的时候，很迷惑明明过程都是按照指导做的，为什么最后的结果总是攻击不成功。周二上课之后老师细讲了一遍实验原理，回忆起很多实验步骤也觉得明朗了许多，尤其是第三个小实验，下课时结合老师上课的知识点也能顺畅的做出实验了，并且还能理解其中的原因。最大的收获并不只是完成了实验，更是了解到这三种攻击方法的其中原理，以及完成之时的成就感，对之后的学习培养了一定的兴趣。
