2017-2018-2 《网络对抗技术》 20155322 第二周 Exp1 PC平台逆向破解(5)M

#2017-2018-2 《网络对抗技术》 20155322 第二周 Exp1 PC平台逆向破解(5)M

[博客目录]

实践目标

实践介绍

实践内容

实践要求

实践过程

实践所涉及指令

反汇编，了解程序的基本功能

构造输入参数，造成BOF攻击

注入Shellcode并执行

资料

1-实践目标

1.1-实践介绍

本次实践的对象是一个名为pwn1的linux可执行文件。

该程序正常执行流程是：main调用foo函数,foo函数会简单回显任何用户输入的字符串。

该程序同时包含另一个代码片段，getShell，会返回一个可用Shell。正常情况下这个代码是不会被运行的。我们实践的目标就是想办法运行这个代码片段。我们将学习两种方法运行这个代码片段，然后学习如何注入运行任何Shellcode。

返回目录

1.2-实践内容

手工修改可执行文件，改变程序执行流程，直接跳转到getShell函数。

利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。

注入一个自己制作的shellcode并运行这段shellcode。

这几种思路，基本代表现实情况中的攻击目标:

运行原本不可访问的代码片段

强行修改程序执行流

以及注入运行任意代码。

返回目录

1.3-实践要求

截图要求：

所有操作截图主机名为本人姓名拼音

所编辑的文件名包含自己的学号

报告内容

掌握NOP, JNE, JE, JMP, CMP汇编指令的机器码（0.5分）

掌握反汇编与十六进制编程器 (0.5分)

能正确修改机器指令改变程序执行流程（0.5分）

能正确构造payload进行bof攻击（0.5分）

报告整体观感

报告格式范围，版面整洁 加0.5。

报告排版混乱，加0分。

文字表述

报告文字内容非常全面，表述清晰准确 加1分。

报告逻辑清楚，比较简要地介绍了自己的操作目标与过程 加0.5分。

报告逻辑混乱表述不清或文字有明显抄袭可能 加0分。

返回目录

2-实践过程

2.1 实践所涉及指令

汇编指令：

call：使程序跳转到某个地址并开始执行，被调用的过程位于当前代码段内。它的机器指令是一个16位的有符号数，也就是说被调用的过程的首地址必须位于距离当前call指令-32768~+32767字节的地方。在指令执行的时候，处理器先把IP的值压栈，然后根据操作数调整IP的值（IP=IP+操作数+3），这直接导致处理器的执行流转移到目标位置处。

ret：近返回指令。执行的时候，处理器从栈中弹出一个字到IP中。

NOP：NOP指令即“空指令”。执行到NOP指令时，CPU什么也不做，仅仅当做一个指令执行过去并继续执行NOP后面的一条指令。（机器码：90）

JNE：条件转移指令，如果不相等则跳转。（机器码：75）

JE：条件转移指令，如果相等则跳转。（机器码：74）

JMP：无条件转移指令。段内直接短转Jmp

CMP：比较指令，功能相当于减法指令，只是对操作数之间运算比较，不保存结果。cmp指令执行后，将对标志寄存器产生影响。其他相关指令通过识别这些被影响的标志寄存器位来得知比较结果。

Linux命令

objdump：反汇编

gdb调试命令

r：运行

b：断点

info：寄存器信息

返回目录

2.2 反汇编，了解程序的基本功能

通过反汇编命令

objdump

打开老师的程序，找到了老师需要我们修改的地方：



需要将Call后面的foo函数地址修改为getshell函数的地址就OK了，由于getshell函数的地址为084847d，于是找到foo函数的地址，将main函数和foo函数的地址相减：

080484af
- 08048491
----------
00000014

只要我们将foo函数的这段地址长度减去，call就会指向getshell函数所在的地址了，所以我们将

d7 - 14 = c3

的值覆盖掉原来的

d7

处就好了。

所以打开文档对指令进行修改，使用

vi pwn2

打开文档，看到的会是乱码，需要输入指令

:%!xxd

以十六进制显示，再通过

/ed d7

查找到

call 08048491

这个指令，进行修改，把d7改成c3就好了：



修改完成后我们再反汇编一下，发现call的地址已经变成getshell的了：



我们运行一下pwn2:



成功getshell~

返回目录

2.3 通过构造输入参数，造成BOF攻击，改变程序执行流

我们需要通过构造一个输入字符串，将溢出的部分变成我们想要跳转到的地址。

首先确定预留缓冲区有多大，我输入为：

1111111122222222333333334444444455555555

，这时我注意寄存器ip（图中eip），因为这是下一条执行语句的地址，我们发现其值为

0x35353535  0x35353535

，在ASCII码中是5，也就是在5这个部分已经溢出了

因为不确定是从哪个5开始溢出，所以我们将八个5改成12345678：



由图可知，

1234

四个数最终会覆盖到堆栈上的返回地址，所以只要把这四个字符替换为 getShell 的内存地址，输给pwn3，pwn3就会运行getShell，

getShell的内存地址之前的实验我们已经知道了，是

0804847d

，所以我们直接将1234改为\x7d\x84\x04\x08，输入

11111111222222223333333344444444\x7d\x84\x04\x08

成功getshell~

返回目录

2.4 注入Shellcode并执行

因为我是直接按照老师的实验说明来完成的，所以直接选择“nops+shellcode+retaddr”的结构对buf进行攻击。那么下面开始完成一些设置，直接在命令行中输入如下命令：

execstack -s pwn1    //设置堆栈可执行
execstack -q pwn1    //查询文件的堆栈是否可执行
more /proc/sys/kernel/randomize_va_space
echo "0" > /proc/sys/kernel/randomize_va_space //关闭地址随机化
more /proc/sys/kernel/randomize_va_space

弄好之后开始操作：

返回目录

3-参考资料

逆向及Bof基础实践说明

Shellcode入门

返回目录