2022-2023-1 20221308刘志伟《缓冲区溢出漏洞》实验报告

“缓冲区溢出”一词经常活跃在老师们的课堂上，但是亲自动手实践操练还是第一次。本次实验借助蓝桥实验楼的内置实验环境与相关实验指导，才得以顺利完成。具体步骤如下：

一、“缓冲区溢出”简介

缓冲区溢出是指程序试图向缓冲区写入超出预分配固定长度数据的情况。这一漏洞可以被恶意用户利用来改变程序的流控制，甚至执行代码的任意片段。这一漏洞的出现是由于数据缓冲器和返回地址的暂时关闭，溢出会引起返回地址被重写。

二、实验前期准备

声明：系统用户名 shiyanlou

实验楼提供的是 64 位 Ubuntu linux，而本次实验为了方便观察汇编语句，我们需要在 32 位环境下作操作，因此实验之前需要做一些准备。

输入命令安装一些用于编译 32 位 C 程序的软件包：

sudo apt-get update

sudo apt-get install -y lib32z1 libc6-dev-i386 lib32readline6-dev

sudo apt-get install -y python3.6-gdbm gdb

三、实验步骤

（一）初始设置

1. Ubuntu 和其他一些 Linux 系统中，使用地址空间随机化来随机堆（heap）和栈（stack）的初始地址，这使得猜测准确的内存地址变得十分困难，而猜测内存地址是缓冲区溢出攻击的关键。因此本次实验中，我们使用以下命令关闭这一功能：

代码：sudo sysctl -w kernel.randomize_va_space=0

2. 此外，为了进一步防范缓冲区溢出攻击及其它利用 shell 程序的攻击，许多shell程序在被调用时自动放弃它们的特权。因此，即使你能欺骗一个 Set-UID 程序调用一个 shell，也不能在这个 shell 中保持 root 权限，这个防护措施在 /bin/bash 中实现。

linux 系统中，/bin/sh 实际是指向 /bin/bash 或 /bin/dash 的一个符号链接。为了重现这一防护措施被实现之前的情形，我们使用另一个 shell 程序（zsh）代替 /bin/bash。下面的指令描述了如何设置 zsh 程序：

指令“ln -s zsh sh”的含义：让“/bin/sh”指向shell程序“/bin/zsh”。

3. 输入命令 linux32 进入32位linux环境（此时不能tab补全了）。输入 /bin/bash 使用bash：

（二）shellcode

一般情况下，缓冲区溢出会造成程序崩溃，在程序中，溢出的数据覆盖了返回地址。而如果覆盖返回地址的数据是另一个地址，那么程序就会跳转到该地址，如果该地址存放的是一段精心设计的代码用于实现其他功能，这段代码就是 shellcode。

观察以下代码：

#include <stdio.h>

int main()

{

char *name[2];

name[0] = "/bin/sh";

name[1] = NULL;

execve(name[0], name, NULL);

}

本次实验的shellcode即为上述代码的汇编版本：

\x31\xc0\x50\x68"//sh"\x68"/bin"\x89\xe3\x50\x53\x89\xe1\x99\xb0\x0b\xcd\x80

（三）漏洞程序

在 /tmp 目录下新建一个 stack.c 文件：

按 i 键切换到插入模式，再输入如下内容：

通过代码可以知道，程序会读取一个名为“badfile”的文件，并将文件内容装入“buffer”。编译该程序，并设置 SET-UID。命令如下：

sudo su gcc -m32 -g -z execstack -fno-stack-protector -o stack stack.c

chmod u+s stack

exit

注：GCC编译器有一种栈保护机制来阻止缓冲区溢出，所以我们在编译代码时需要用 –fno-stack-protector 关闭这种机制。

而 -z execstack 用于允许执行栈；-g 参数是为了使编译后得到的可执行文档能用 gdb 调试。

（四）攻击程序

目的：攻击刚才的漏洞程序，并通过攻击获得 root 权限。

在 /tmp 目录下新建一个 exploit.c 文件，输入如下内容：

在上述代码中，\x??\x??\x??\x?? 处需要添上 shellcode 保存在内存中的地址，因为发生溢出后这个位置刚好可以覆盖返回地址。而 strcpy(buffer+100,shellcode); 这一句又告诉我们，shellcode 保存在 buffer + 100 的位置。下面我们将详细介绍如何获得我们需要添加的地址。

现在我们要得到 shellcode 在内存中的地址，输入命令进入 gdb 调试：

gdb stack

disass main

结果如图：