20165309 《网络对抗技术》实验一：PC平台逆向破解

一、实践目标

本次实践的对象是一个名为pwn1的linux可执行文件。该程序正常执行流程是：main调用foo函数,foo函数会简单回显任何用户输入的字符串。
该程序同时包含另一个代码片段，getShell，会返回一个可用Shell。正常情况下这个代码是不会被运行的。
我们实践的目标就是想办法运行这个代码片段，然后学习如何注入运行任何Shellcode。

返回目录

二、基础知识

什么是漏洞？漏洞有什么危害？
- 我觉得漏洞就是攻击者进行未授权访问和破坏的“机会”，也是程序产生非预期行为的隐患。
- 漏洞会导致诸多安全问题，甚至会影响到软、硬件设备。被侵入后，我们的数据、隐私等会很容易被窃取、利用，所以，勤打补丁很重要。
掌握NOP, JNE, JE, JMP, CMP汇编指令的机器码
- 我们可以利用objdump -d得到汇编代码，然后对应起来看汇编指令和机器码。（以下指令的机器码均在括号中标出）
- NOP：“NULL”，一般用来控制CPU的时间周期，达到时钟延时的效果。（90）
- JNE：条件转移指令，如果不相等则跳转。（75）
- JE：条件转移指令，如果相等则跳转。（74）
- JMP：无条件转移指令可转到内存中任何程序段。段内直接短转Jmp short（EB）段内直接近转移Jmp near（E9）段内间接转移Jmp word（FF）段间直接远转移Jmp far（EA）。
- CMP：比较指令，CPU将目的操作数和源操作数做减法从而根据运算结果修改标志位的值，然后用相应的跳转指令来进行选择执行哪一段代码。
- 推荐一波参考资料：汇编指令和机器码的对应表、汇编指令机器码对应列表。
反汇编
- objdump -d : 将代码段反汇编。
- objdump -S : 将代码段反汇编的同时，将反汇编代码与源代码交替显示，编译时需要使用-g参数调试信息。
- objdump -l : 反汇编代码中插入文件名和行号。
- objdump -j section : 仅反汇编指定的section。
- objdump -t :输出目标文件的符号表。
- objdump -h :输出目标文件的所有段概括。
- objdump -x :以某种分类信息的形式把目标文件的数据组成输出，可查到该文件的的所有动态库。
十六进制编程器
- 在VIM里时我们可以通过如下方式使用：
  - :%!xxd ：进入十六进制模式。
  - :%!xxd -r ：退出十六进制模式。

返回目录

三、实验原理、内容及步骤

1.直接修改程序机器指令，改变程序执行流程

1.1实验原理

程序中的main函数会通过call指令调用foo这个函数，实验的这一环节就是要改其地址、换其函数、实现“想要”的功能（详见下述步骤）。

1.2内容及步骤

首先，来找一找共享文件夹的“pwn1”在哪儿：
然而，我们发现，它现在运行不了：
因为需要装个支持32位程序的库，这里参考了学长的博客，其中，用的更新源来自解决kali更新源时出现签名无效问题。
现在可行了，如图可见foo函数的功能：
用反汇编，看一看实验核心函数的部分，这里，我们重点关注main函数的call指令这一行：call指令对应的e8，我们要做的就是把四字节的偏移量ff ff ff d7(小端序，补码)换成getShell函数对应的。
call指令在执行时，会EIP当前的值，也就是下一条指令的地址——0x080484ba压栈，然后修改寄存器EIP，将EIP指向foo函数的起始地址（因为EIP+偏移量= 0x080484ba + 0xffffffd7 = 0x08048491目的地址）。
所以要修改的是call指令的偏移量，由计算0x0804847d - 0x080484ba = 0xffffffc3，简而言之，要把d7换成c3了。在vim下修改：如下图指令进入十六进制模式，然后定位，换后回到二进制模式。
保存退出后，我们可以看到call函数使程序跳转到了getShell函数。
运行后，我们实现出了shell~

2.通过构造输入参数，造成BOF攻击，改变程序执行流

2.1实验原理

通过观察上一环节的反汇编页面，可知foo函数中使用了gets函数，该函数不会检查用户输入的长度，通过“栈溢出”覆盖栈中保存的RET地址，可以改变程序的执行流。
我们这里要做的就是利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。

2.2内容及步骤

我们要确认一下字符串的缓冲区长度，进gdb调试，输入字符串如1111111122222222333333334444444455555555，发生段错误产生溢出。（注意EIP的值，是ASCII 5）
如果输入字符串1111111122222222333333334444444412345678，那1234这四个数最终会覆盖到堆栈上的返回地址，进而CPU会尝试运行这个位置的代码。那只要把这四个字符替换为getShell的内存地址，输给pwn2，pwn2就会运行getShell。
这里的字节序是小端序，getShell的地址（0x0804847d）放在字符串中就是\x7d\x84\x04\x08。
使用输出重定向“>”将perl生成的字符串存储到文件input中，再用16进制查看指令xxd查看input文件的内容是否如预期，然后将input的输入通过管道符“|”作为pwn2的输入，再现shell功能：
PS.看到了不用perl语言的一种方式：

3.注入Shellcode并执行

3.1实验原理

植入代码的构造类型（NSR、RNS、AR），可学习缓冲区溢出攻击这篇报告。实验中用的是RNS类型。
在实际的应用中，凡是用来注入的机器指令段都通称为shellcode，像添加一个用户、运行一条指令，注入shellcode即返回地址为shellcode的起始地址。

3.2内容及步骤

安装execstack程序以便后续设置易于攻击的环境：apt-get install execstack。
准备工作（搬运一下老师的实验指导）：

root@KaliYL:~# execstack -s pwn1    //设置堆栈可执行

root@KaliYL:~# execstack -q pwn1    //查询文件的堆栈是否可执行

X pwn1

root@KaliYL:~# more /proc/sys/kernel/randomize_va_space

2

root@KaliYL:~# echo "0" > /proc/sys/kernel/randomize_va_space //关闭地址随机化

root@KaliYL:~# more /proc/sys/kernel/randomize_va_space

0

构造RNS攻击结构：<32字节任意数据> + <4字节 RET覆盖地址> + <NOP垫> + <shellcode>，最后一个字符千万不能是\x0a。
注入：
再开另外一个终端，用gdb来调试pwn3这个进程。
在gdb中连接进程，在foo函数的RET位置设置断点，在断点处暂停后，查看栈的情况：
NOP垫的开始地址是0xffffd34c，shellcode在其基础上加4字节，于是修改\x4\x3\x2\x1为\x50\xd3\xff\xff。攻击成功：