20145312《网络对抗》 逆向及Bof基础实践

时间:2021-10-11 21:33:18

20145312 《网络对抗》 逆向及Bof基础实践

1 逆向及Bof基础实践说明

1.1 实践目标

  • 本次实践的对象是一个名为pwn1的linux可执行文件。
  • 该程序正常执行流程是:main调用foo函数,foo函数会简单回显任何用户输入的字符串。该程序同时包含另一个代码片段,getShell,会返回一个可用Shell。
  • 实践的目标就是想办法运行这个代码片段。我们将学习两种方法运行这个代码片段,然后学习如何注入运行任何Shellcode。

三个实践内容如下:

  • 手工修改可执行文件,改变程序执行流程,直接跳转到getShell函数。
  • 利用foo函数的Bof漏洞,构造一个攻击输入字符串,覆盖返回地址,触发getShell函数。
  • 注入一个自己制作的shellcode并运行这段shellcode。

2 直接修改程序机器指令,改变程序执行流程

  • 知识要求:Call指令,EIP寄存器,指令跳转的偏移计算,补码,反汇编指令objdump,十六进制编辑工具
  • 学习目标:理解可执行文件与机器指令
  • 进阶:掌握ELF文件格式,掌握动态技术
  • 下面就修改可执行文件,将其中的call指令的目标地址由d7ffffff变为c3ffffff。
    20145312《网络对抗》 逆向及Bof基础实践
    20145312《网络对抗》 逆向及Bof基础实践
    20145312《网络对抗》 逆向及Bof基础实践
    20145312《网络对抗》 逆向及Bof基础实践

  • 再反汇编看一下,call指令是否正确调用getShell
    20145312《网络对抗》 逆向及Bof基础实践
    20145312《网络对抗》 逆向及Bof基础实践

3 通过构造输入参数,造成BOF攻击,改变程序执行流

  • 知识要求:堆栈结构,返回地址
  • 学习目标:理解攻击缓冲区的结果,掌握返回地址的获取
  • 进阶:掌握ELF文件格式,掌握动态技术

    3.1 反汇编,了解程序的基本功能

    20145312《网络对抗》 逆向及Bof基础实践

  • 触发函数getShell
    20145312《网络对抗》 逆向及Bof基础实践

  • 该可执行文件正常运行是调用如下函数foo,这个函数有Buffer overflow漏洞
    20145312《网络对抗》 逆向及Bof基础实践

  • 这里读入字符串,但系统只预留了28字节的缓冲区,超出部分会造成溢出,目标是覆盖返回地址

  • 上面的call调用foo,同时在堆栈上压上返回地址值
    20145312《网络对抗》 逆向及Bof基础实践

3.2 确认输入字符串哪几个字符会覆盖到返回地址

20145312《网络对抗》 逆向及Bof基础实践

  • 通过对foo函数进行分析,可以发现系统只预留了一定字节的缓冲区,超出部分会造成溢出,因此这个函数存在BOF漏洞,而我们的目标就是覆盖它的返回地址。
    进过尝试发现,当输入达到28字节时产生溢出Segmentation fault
    20145312《网络对抗》 逆向及Bof基础实践

  • 如果输入字符串1111111122222222333333334444444412345678,那 1234 那四个数最终会覆盖到堆栈上的返回地址,进而CPU会尝试运行这个位置的代码。那只要把这四个字符替换为 getShell 的内存地址,输给pwn20145312yx,pwn20145312yx就会运行getShell。

3.3 确认用什么值来覆盖返回地址

  • getShell的内存地址,在未启用ALSR的主机上是固定不变的,通过反汇编时可以看到,即0804847d。

  • 接下来要确认下字节序
    20145312《网络对抗》 逆向及Bof基础实践

3.4 构造输入字符串

  • 由为没法通过键盘输入\x7d\x84\x04\x08这样的16进制值,所以先生成包括这样字符串的一个文件。\x0a表示回车,如果没有的话,在程序运行时就需要手工按一下回车键。
  • 关于Perl:Perl是一门解释型语言,不需要预编译,可以在命令行上直接使用。使用输出重定向“>”将perl生成的字符串存储到文件input中。
  • 观看eip的值,是ASCII 1234,也就是说我们输入的“1234”覆盖了它的地址,所以我们只需要将getshell的内存地址替换这4个字符,就可以达到程序向getshell函数转移的目的。
  • 我们要构造一串特殊的输入,由于getShell的内存地址是0x0804847d,而其对应的ASCII没有字符,所以我们通过一个简单的perl脚本语言来构造输入值,输入:
  • 可以使用16进制查看指令xxd查看input文件的内容是否如预期。
  • 然后将input的输入,通过管道符“|”,作为pwn20145312yx的输入。
    20145312《网络对抗》 逆向及Bof基础实践
    20145312《网络对抗》 逆向及Bof基础实践