20145314郑凯杰《网络对抗技术》实验1 逆向及Bof基础实践
1.1 实践目标
本次实践的对象是一个名为pwn1的linux可执行文件。
该程序正常执行流程是：main调用foo函数,foo函数会简单回显任何用户输入的字符串。
该程序同时包含另一个代码片段，getShell，会返回一个可用Shell。正常情况下这个代码是不会被运行的。我们实践的目标就是想办法运行这个代码片段。
我们将学习两种方法
利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。
手工修改可执行文件，改变程序执行流程，直接跳转到getShell函数。
其实我们还可以做的更多，比如说注入一个自己制作的shellcode并运行这段shellcode。
这几种思路，基本代表现实情况中的攻击目标：
- 运行原本不可访问的代码片段
- 强行修改程序执行流
- 以及注入运行任意代码
1.2 基础知识
该实践需要同学们熟悉Linux基本操作，能看懂常用指令,如管道（|），输入、输出重定向（>）等。
理解Bof的原理。
能看得懂汇编、机器指令、EIP、指令地址。
会使用gdb,vi。
2.0 直接修改程序机器指令，改变程序执行流程
①用VI更改程序执行流程
知识要求：Call指令，EIP寄存器,指令跳转的偏移计算，补码，反汇编指令objdump，十六进制编辑工具
学习目标：理解可执行文件与机器指令
进阶：掌握ELF文件格式，掌握动态技术
为了截图和实际操作的方便，我用"cp pwn1 20145314"语句将我们所要操作的文件改至20145314。
首先执行一次20145314文件：
图1：
接下来，我们需要修改可执行文件，将其中的call指令的目标地址由d7ffffff变为c3ffffff。
首先用第一种方法更改过去：
vi pwn2 :进入vi模式
:%!xxd ：将显示模式切换为16进制模式
e8d7：查找要修改的内容
到这一步我们可以看到如下画面：
图2：
按"r"修改d7为c3
图3:
:%!xxd -r:转换成原格式
:wq：保存并退出
再次执行此文件，就可以发现功能已经被我们所更改了：
图4：
注：这里是getshell的功能，默认已经让我们进入了bush，所以用exit退出
①用wxhexeditor恢复程序执行流程
另外，我们用wxhexeditor来将程序的执行流程恢复
输入指令apt-get install wxhexeditor进行安装wxhexeditor
出现如图的错误：
图5：
分析原因，出现提示"Failed to fetch xxxx"，这是我们还没连网的表示，所以我们只要连网就可以了。
连网安装后，输入wxHexEditor 20145314进入编辑
图7：
用“crtl”+"F"的快捷键搜索所需要的E8 C3段，更改回来
图8：
图9：
更改完成，保存并退出wxhexeditor，重新运行程序试试
图10：
成功
3.0 通过构造输入参数，造成BOF攻击，改变程序执行流
3.1 反汇编，了解程序的基本功能
用objdump -d pwn1 | more语句来实现反汇编，管道的作用是将前半段的输出作为后半段的输入，从而输出出来。
在输出的反汇编语句中找到getshell函数段
图11：
foo函数段
图12：
3.2 确认输入字符串哪几个字符会覆盖到返回地址
用GDB跑程序，寻找需要修改的返回地址的位置：
图13：
然后详细查看info r
图14
这里我们发现eip内本来应该有的指令值被我覆盖了，覆盖为5（ASCII码）
图15
再执行，发现EIP中的值又改变了，所以现在我们可以确定需要更改的位置了。
3.3 确认用什么值来覆盖返回地址
首先我们再次确认getshell的地址
图11：
发现为0804847d
接下来要确认下字节序，简单说是输入
11111111222222223333333344444444x08x04x84x7d
还是输入
11111111222222223333333344444444x7dx84x04x08
图16：
对比之前 eip 0x34333232 0x34333232 ，正确应用输入
11111111222222223333333344444444x7dx84x04x08
因此：
perl -e 'print "11111111222222223333333344444444x7dx84x04x08x0a"' > input
图17：
可以使用16进制查看指令xxd查看input文件的内容是否如预期。
然后将input的输入，通过管道符“|”，作为pwn1的输入
图18：