20145229吴姗珊逆向BOF实践

实践

实践目标

本次实践的对象是一个名为pwn1的linux可执行文件
该程序正常执行流程是：main调用foo函数,foo函数会简单回显任何用户输入的字符串。
该程序同时包含另一个代码片段，getShell，会返回一个可用Shell。正常情况下这个代码是不会被运行的。我们实践的目标就是想办法运行这个代码片段。
我们将学习两种方法：
1. 利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。
2. 手工修改可执行文件，改变程序执行流程，直接跳转到getShell函数。

实践步骤

安装虚拟机、靶机及Kali，安装成功如下图
建立姓名学号文件夹，放入pwn1
直接运行pwn1，知道其作用为回显刚刚输入的字符
当输入的字符过长会导致缓冲区溢出
指令objdump反汇编pwn1,more管道按页显示，命令 objdump -d pwn1 | more
分析代码并修改指令改变其功能
main函数反汇编的第4行，"call 8048491 "是汇编指令，是说这条指令将调用位于地址8048491处的foo函数；其对应机器指令为"e8 d7ffffff"，e8即跳转之意。本来正常流程，此时此刻EIP的值应该是下条指令的地址，即80484ba，但一解释e8这条指令呢，CPU就会转而执行 "EIP + d7ffffff"这个位置的指令。"d7ffffff"是补码,表示-41，41=0x29,80484ba +d7ffffff= 80484ba-0x29正好是8048491这个值（foo函数调用入口），main函数调用foo，对应机器指令为" e8 d7ffffff"，那我们想让它调用getShell，只要修改"d7ffffff"为，"getShell-80484ba"对应的补码就行。用Windows计算器，直接 47d-4ba就能得到补码，是c3ffffff。

之后汇编码将由e8d7ffffff变为e8c3ffffff

下载图形化的16进制编辑器
指令：apt-get install wxhexeditor
wxHexEditor
通过构造输入参数，造成BOF攻击，分析各函数功能

main:函数的第四行call 8048491意思为跳转到foo函数

getshell:我们的目标是触发函数getShell，这个恶意代码可以实现shell
foo:可执行文件正常运行是调用如下函数foo，这个函数有Buffer overflow漏洞

缓冲区溢出跳转getshell
1.首先尝试用gdb调试

2.输入1111111122222222333333334444444455555555，观察寄存器数值

3.发现eip为0x35353535，查ASCLL表发现是5555。eip寄存器的功能就是保存程序下一步要执行指令的地址，可以看出本来应返回到foo函数的返回地址已被"5555"覆盖

4.通过将55555555换成12345678，再观察eip值找出谁被覆盖，通过查表可知为1234

5.确认getshell地址的字节序列0804847d如何组合

通过设置断点查看0804847d的顺序，在0804049d处设置断点，通过查看之后的eip值，eip值不变，对比之前 eip 0x34333231 0x34333231 ，通过查表查出为4321，可以确定getshell字符序列应该是11111111222222223333333344444444\x7d\x84\x04\x08

码表如下

生成字符串
我们没法通过键盘输入\x7d\x84\x04\x08这样的16进制值，所以先生成包括这样字符串的一个文件。\x0a表示回车，如果没有的话，在程序运行时就需要手工按一下回车键。
Perl是一门解释型语言，不需要预编译，可以在命令行上直接使用。
使用输出重定向“>”将perl生成的字符串存储到文件input中。可以使用16进制查看指令xxd查看input文件的内容是否如预期。
跳转getshell
将input的输入，通过管道符“|”，作为pwn1的输入
注入shellcode
shellcode：
Shellcode是一组可注入的指令，可在被攻击的程序内运行。由于shellcode要直接操作寄存器，通常用汇编语言编写并翻译成十六进制操作码。我们想让目标程序以不同与设计折预期的方式运行，操纵程序的方法之一是强制它产生系统调用。ShellCode就是一段程序的机器码形式，而ShellCode的编写过程，就是得到我们想要程序的机器码的过程。
在Linux里有两种方法来执行系统调用。间接的方法是libc，直接的方法是用汇编指令调用软中断执行系统调用。在Linux里，程序通过int 0x80软中断来执行系统调用，调用过程如下：
1、把系统调用编号载入EAX；
2、把系统调用的参数压入其他寄存器；最多支持6个参数，分别保存在EBX、ECX、EDX、ESI、EDI和EBP里；
3、执行int 0x80指令；
4、CPU切换到内核模式；
5、执行系统函数。
需要一个shellcode代码，在网上找了一个，命名为helloshellcode,直接对这个程序进行编译，编译时注意需要首先转换为32位
想提取其中的shellcode就需要通过反汇编来获取相应的汇编代码或是二进制代码。如果要提取该程序中的获取shell的shellcode，就是要获取函数execve调用时参数及相应的系统调用。接下来进行反汇编
使用gdb查看反汇编

从上图中可以看出execve函数是先赋值寄存器后进行调用*0x80e8a90，可以看出就是上面所说的第一种放大—调用软中断执行系统调用。一旦加载寄存器之后，就会调用int 0x80 汇编指令来发出软中断，强迫内核暂停手头上的工作并处理该中断。

提取shellcode
在上面放的用gdb查看的反汇编的图里的部分指令进行组合就可以了，不过老师在上课的时候说过里面不能包含0字符，需要把0字符全部去掉，否则无法执行
汇编写helloshellcode及编译
本次的shellcode参考了网上大神的分享，自己对这汇编方面理解太少，能理解整个过程的原理，在实践代码方面举步维艰，不过熟能生巧，自己会多加强这方面的学习

实践感想

本次的实践是本次课的第一次实验，根据老师给出的教程一步步往下做没有遇到太大的问题，只是在确定大端小端的时候遇到了一些疑难，缓冲区溢出最重要的就是找出覆盖的部分，然后进行一个计算即可进行跳转，其实原理很简单，只是对汇编方面的知识太过生疏导致理解汇编时非常吃力，但是在做注入shellcode的时候，根据网上的教程做下来，大体的概念清楚，做下来花了不少时间，还需要花一定的时间理解消化，希望自己以后也可以加强对汇编的学习，将所有知识融会贯通进行学习。