20165309 《网络对抗技术》实验一：PC平台逆向破解

20165309 《网络对抗技术》实验一：PC平台逆向破解

---

目录

• 实践目标

• 基础知识

• 实验原理、内容及步骤

• 问题与解决

• 实验收获

---

一、实践目标

• 本次实践的对象是一个名为pwn1的linux可执行文件。该程序正常执行流程是：main调用foo函数,foo函数会简单回显任何用户输入的字符串。
• 该程序同时包含另一个代码片段，getShell，会返回一个可用Shell。正常情况下这个代码是不会被运行的。
• 我们实践的目标就是想办法运行这个代码片段，然后学习如何注入运行任何Shellcode。

返回目录

---

二、基础知识

• 什么是漏洞？漏洞有什么危害？
  • 我觉得漏洞就是攻击者进行未授权访问和破坏的“机会”，也是程序产生非预期行为的隐患。
  • 漏洞会导致诸多安全问题，甚至会影响到软、硬件设备。被侵入后，我们的数据、隐私等会很容易被窃取、利用，所以，勤打补丁很重要。
• 掌握NOP, JNE, JE, JMP, CMP汇编指令的机器码
  • 我们可以利用objdump -d得到汇编代码，然后对应起来看汇编指令和机器码。（以下指令的机器码均在括号中标出）
  • NOP：“NULL”，一般用来控制CPU的时间周期，达到时钟延时的效果。（90）
  • JNE：条件转移指令，如果不相等则跳转。（75）
  • JE：条件转移指令，如果相等则跳转。（74）
  • JMP：无条件转移指令可转到内存中任何程序段。段内直接短转Jmp short（EB）段内直接近转移Jmp near（E9）段内间接转移Jmp word（FF）段间直接远转移Jmp far（EA）。
  • CMP：比较指令，CPU将目的操作数和源操作数做减法从而根据运算结果修改标志位的值，然后用相应的跳转指令来进行选择执行哪一段代码。
  • 推荐一波参考资料：汇编指令和机器码的对应表、汇编指令机器码对应列表。
• 反汇编
  • objdump -d : 将代码段反汇编。
  • objdump -S : 将代码段反汇编的同时，将反汇编代码与源代码交替显示，编译时需要使用-g参数调试信息。
  • objdump -l : 反汇编代码中插入文件名和行号。
  • objdump -j section : 仅反汇编指定的section。
  • objdump -t :输出目标文件的符号表。
  • objdump -h :输出目标文件的所有段概括。
  • objdump -x :以某种分类信息的形式把目标文件的数据组成输出，可查到该文件的的所有动态库。
• 十六进制编程器
  • 在VIM里时我们可以通过如下方式使用：
    • :%!xxd ：进入十六进制模式。
    • :%!xxd -r ：退出十六进制模式。

返回目录

---

三、实验原理、内容及步骤

1.直接修改程序机器指令，改变程序执行流程

1.1实验原理

程序中的main函数会通过call指令调用foo这个函数，实验的这一环节就是要改其地址、换其函数、实现“想要”的功能（详见下述步骤）。

1.2内容及步骤

• 首先，来找一找共享文件夹的“pwn1”在哪儿：
  
  
• 然而，我们发现，它现在运行不了：
  
  
• 因为需要装个支持32位程序的库，这里参考了学长的博客，其中，用的更新源来自解决kali更新源时出现签名无效问题。
  
  
  
  
• 现在可行了，如图可见foo函数的功能：
  
  
• 用反汇编，看一看实验核心函数的部分，这里，我们重点关注main函数的call指令这一行：call指令对应的e8，我们要做的就是把四字节的偏移量ff ff ff d7(小端序，补码)换成getShell函数对应的。
  
  
  
  
  
  
• call指令在执行时，会EIP当前的值，也就是下一条指令的地址——0x080484ba压栈，然后修改寄存器EIP，将EIP指向foo函数的起始地址（因为EIP+偏移量= 0x080484ba + 0xffffffd7 = 0x08048491目的地址）。
• 所以要修改的是call指令的偏移量，由计算0x0804847d - 0x080484ba = 0xffffffc3，简而言之，要把d7换成c3了。在vim下修改：如下图指令进入十六进制模式，然后定位，换后回到二进制模式。
  
  
  
  
  
  
• 保存退出后，我们可以看到call函数使程序跳转到了getShell函数。
  
  
• 运行后，我们实现出了shell~
  
  

2.通过构造输入参数，造成BOF攻击，改变程序执行流

2.1实验原理

• 通过观察上一环节的反汇编页面，可知foo函数中使用了gets函数，该函数不会检查用户输入的长度，通过“栈溢出”覆盖栈中保存的RET地址，可以改变程序的执行流。
• 我们这里要做的就是利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。
  
  

2.2内容及步骤

• 我们要确认一下字符串的缓冲区长度，进gdb调试，输入字符串如1111111122222222333333334444444455555555，发生段错误产生溢出。（注意EIP的值，是ASCII 5）
  
  
  
  
• 如果输入字符串1111111122222222333333334444444412345678，那1234这四个数最终会覆盖到堆栈上的返回地址，进而CPU会尝试运行这个位置的代码。那只要把这四个字符替换为getShell的内存地址，输给pwn2，pwn2就会运行getShell。
  
  
• 这里的字节序是小端序，getShell的地址（0x0804847d）放在字符串中就是\x7d\x84\x04\x08。
• 使用输出重定向“>”将perl生成的字符串存储到文件input中，再用16进制查看指令xxd查看input文件的内容是否如预期，然后将input的输入通过管道符“|”作为pwn2的输入，再现shell功能：
  
  
• PS.看到了不用perl语言的一种方式：
  
  

3.注入Shellcode并执行

3.1实验原理

• 植入代码的构造类型（NSR、RNS、AR），可学习缓冲区溢出攻击这篇报告。实验中用的是RNS类型。
• 在实际的应用中，凡是用来注入的机器指令段都通称为shellcode，像添加一个用户、运行一条指令，注入shellcode即返回地址为shellcode的起始地址。
  
  

3.2内容及步骤

• 安装execstack程序以便后续设置易于攻击的环境：apt-get install execstack。
• 准备工作（搬运一下老师的实验指导）：

root@KaliYL:~# execstack -s pwn1    //设置堆栈可执行
root@KaliYL:~# execstack -q pwn1    //查询文件的堆栈是否可执行
X pwn1
root@KaliYL:~# more /proc/sys/kernel/randomize_va_space
2
root@KaliYL:~# echo "0" > /proc/sys/kernel/randomize_va_space //关闭地址随机化
root@KaliYL:~# more /proc/sys/kernel/randomize_va_space
0

• 构造RNS攻击结构：<32字节任意数据> + <4字节 RET覆盖地址> + <NOP垫> + <shellcode>，最后一个字符千万不能是\x0a。
  
  
• 注入：
  
  
• 再开另外一个终端，用gdb来调试pwn3这个进程。
  
  
• 在gdb中连接进程，在foo函数的RET位置设置断点，在断点处暂停后，查看栈的情况：
  
  
  
  
• NOP垫的开始地址是0xffffd34c，shellcode在其基础上加4字节，于是修改\x4\x3\x2\x1为\x50\xd3\xff\xff。攻击成功：
  
  

返回目录

---

四、问题与解决

• 问题1：报错bash： ./pwn1: 没有那个文件或目录
• 解决1：上述博客 三、1.2 中已详解。
• 注意2：十六进制下修改地址后要换回二进制再保存退出。

返回目录

---

五、实验收获

我觉得这个实验在操作上是很容易的，我也算是切身领会了BOF攻击神奇的乐趣，但在理解方面我还需要下一些功夫，有些知识自己看的时候并不能弄清楚，上课听老师讲完才知道，自学成效堪忧...还有一点收获是：谨防入坑。

返回目录