20145232韩文浩《网络对抗》逆向及BOF基础实践

实践目标

• 本次实践的对象是一个名为pwn1的linux可执行文件。
• 该程序正常执行流程是：main调用foo函数,foo函数会简单回显任何用户输入的字符串。
• 该程序同时包含另一个代码片段，getShell，会返回一个可用Shell。正常情况下这个代码是不会被运行的。我们实践的目标就是想办法运行这个代码片段。

基础知识

• NOP：NOP指令即“空指令”。执行到NOP指令时，CPU什么也不做，仅仅当做一个指令执行过去并继续执行NOP后面的一条指令。（机器码：90）
• JNE：条件转移指令，如果不相等则跳转。（机器码：75）
• JE：条件转移指令，如果相等则跳转。（机器码：74）
• JMP：无条件转移指令。段内直接短转Jmp short（机器码：EB）段内直接近转移Jmp near（机器码：E9）段内间接转移Jmp word（机器码：FF）段间直接(远)转移Jmp far（机器码：EA）
• CMP：比较指令，功能相当于减法指令，只是对操作数之间运算比较，不保存结果。cmp指令执行后，将对标志寄存器产生影响。其他相关指令通过识别这些被影响的标志寄存器位来得知比较结果。

实践过程

直接修改程序机器指令，改变程序执行流程

第一列是内存中的地址，第二列是机器指令，第三列是汇编指令。先看右下角的"call 8048491 "，这是一条汇编指令，是说这条指令将调用位于地址8048491处的foo函数；其对应机器指令为“e8 d7ffffff”，e8即跳转之意。正常情况下，此时此刻EIP的值应该是下条指令的地址，即80484ba，但一解释e8这条指令呢，CPU就会转而执行 “EIP + d7ffffff”这个位置的指令。“d7ffffff”是补码,表示-41，41=0x29,80484ba +d7ffffff= 80484ba-0x29正好是8048491这个值，

main函数调用foo，对应机器指令为“ e8 d7ffffff”，那我们想让它调用getShell，只要修改“d7ffffff”为，"getShell-80484ba"对应的补码就行。用Windows计算器，直接 47d-4ba就能得到补码，是c3ffffff

用vi编辑，vi是一种文本编辑器，打开后显示的是ASCⅡ码。按下ESC键，输入“：%！xxd”，将显示模式换为16进制模式，比较容易看懂。

然后输入“/e8 d7”，查找要修改的内容，注意中间有空格，不然会出错。找到后还要将前后的内容和反汇编的对比下，确认找的这地方是正确的。然后按下a键，进入编辑模式。将d7改为c3。

按i键将模式改为插入模式，修改d7为c3；输入:%!xxd -r转换16进制为原格式，然后存盘退出

用“：%！xxd -r”将16进制转换为原格式

再用反汇编看看call指令对应的机器指令是否发生变化。

比较发现，确实发生了变动。说明成功修改了程序机器指令，改变了程序执行流程。

通过构造输入参数，造成BOF攻击，改变程序执行流

反汇编，了解程序的基本功能

输入1111111122222222333333334444444412345678，用info r命令查看溢出时寄存器状态如下，观察%eip的值，发现%eip的值是0x34333231，确定溢出字符为1234

• 把这四个字符替换为getShell的内存地址，输给pwn20145219，pwn20145219就会运行getShell。

• 构造输入字符串。我们没法通过键盘输入\x7d\x84\x04\x08这样的16进制值，所以先生成包括这样字符串的一个文件，命令为perl -e 'print "11111111222222223333333344444444\x7d\x84\x04\x08\x0a"' > input（\x0a表示回车）。
  

使用16进制查看指令xxd input查看input文件的内容。

然后将input的输入，通过管道符“|”，作为可执行文件20145232的输入