20145314郑凯杰《网络对抗技术》实验1 逆向及Bof基础实践

20145314郑凯杰《网络对抗技术》实验1 逆向及Bof基础实践

1.1 实践目标

本次实践的对象是一个名为pwn1linux可执行文件。

该程序正常执行流程是:main调用foo函数,foo函数会简单回显任何用户输入的字符串。

该程序同时包含另一个代码片段,getShell,会返回一个可用Shell。正常情况下这个代码是不会被运行的。我们实践的目标就是想办法运行这个代码片段。

我们将学习两种方法

利用foo函数的Bof漏洞,构造一个攻击输入字符串,覆盖返回地址,触发getShell函数。
手工修改可执行文件,改变程序执行流程,直接跳转到getShell函数。
==其实我们还可以做的更多,比如说注入一个自己制作的shellcode并运行这段shellcode。==

这几种思路,基本代表现实情况中的攻击目标:

  1. 运行原本不可访问的代码片段
  2. 强行修改程序执行流
  3. 以及注入运行任意代码

1.2 基础知识

该实践需要同学们熟悉Linux基本操作,能看懂常用指令,如管道(|)输入输出重定向(>)等。

理解Bof的原理。

能看得懂汇编、机器指令、EIP、指令地址。

会使用gdb,vi

2.0 直接修改程序机器指令,改变程序执行流程

①用VI更改程序执行流程

知识要求:Call指令,EIP寄存器,指令跳转的偏移计算,补码,反汇编指令objdump,十六进制编辑工具
学习目标:理解可执行文件与机器指令
进阶:掌握ELF文件格式,掌握动态技术

为了截图和实际操作的方便,我用"cp pwn1 20145314"语句将我们所要操作的文件改至20145314。

首先执行一次20145314文件:

图1:20145314郑凯杰《网络对抗技术》实验1 逆向及Bof基础实践_第1张图片

接下来,我们需要修改可执行文件,将其中的call指令的目标地址由d7ffffff变为c3ffffff。

首先用第一种方法更改过去:

vi pwn2 :进入vi模式

:%!xxd :将显示模式切换为16进制模式

e8d7:查找要修改的内容

到这一步我们可以看到如下画面:

图2:20145314郑凯杰《网络对抗技术》实验1 逆向及Bof基础实践_第2张图片

"r"修改d7为c3

图3:

:%!xxd -r:转换成原格式

:wq:保存并退出

再次执行此文件,就可以发现功能已经被我们所更改了:

图4:20145314郑凯杰《网络对抗技术》实验1 逆向及Bof基础实践_第3张图片

注:这里是getshell的功能,默认已经让我们进入了bush,所以用exit退出

①用wxhexeditor恢复程序执行流程

另外,我们用wxhexeditor来将程序的执行流程恢复

输入指令apt-get install wxhexeditor进行安装wxhexeditor

出现如图的错误:

图5:20145314郑凯杰《网络对抗技术》实验1 逆向及Bof基础实践_第4张图片

分析原因,出现提示"Failed to fetch xxxx",这是我们还没连网的表示,所以我们只要连网就可以了。

连网安装后,输入wxHexEditor 20145314进入编辑

图7:20145314郑凯杰《网络对抗技术》实验1 逆向及Bof基础实践_第5张图片

“crtl”+"F"的快捷键搜索所需要的E8 C3段,更改回来

图8:20145314郑凯杰《网络对抗技术》实验1 逆向及Bof基础实践_第6张图片

图9:20145314郑凯杰《网络对抗技术》实验1 逆向及Bof基础实践_第7张图片

更改完成,保存并退出wxhexeditor,重新运行程序试试

图10:20145314郑凯杰《网络对抗技术》实验1 逆向及Bof基础实践_第8张图片

成功

3.0 通过构造输入参数,造成BOF攻击,改变程序执行流

3.1 反汇编,了解程序的基本功能

objdump -d pwn1 | more语句来实现反汇编,管道的作用是将前半段的输出作为后半段的输入,从而输出出来。

在输出的反汇编语句中找到getshell函数段

图11:20145314郑凯杰《网络对抗技术》实验1 逆向及Bof基础实践_第9张图片

foo函数段

图12:20145314郑凯杰《网络对抗技术》实验1 逆向及Bof基础实践_第10张图片

3.2 确认输入字符串哪几个字符会覆盖到返回地址

用GDB跑程序,寻找需要修改的返回地址的位置:

图13:20145314郑凯杰《网络对抗技术》实验1 逆向及Bof基础实践_第11张图片

然后详细查看info r

图1420145314郑凯杰《网络对抗技术》实验1 逆向及Bof基础实践_第12张图片

这里我们发现eip内本来应该有的指令值被我覆盖了,覆盖为5(ASCII码)

图1520145314郑凯杰《网络对抗技术》实验1 逆向及Bof基础实践_第13张图片

再执行,发现EIP中的值又改变了,所以现在我们可以确定需要更改的位置了。

3.3 确认用什么值来覆盖返回地址

首先我们再次确认getshell的地址

图11:20145314郑凯杰《网络对抗技术》实验1 逆向及Bof基础实践_第14张图片

发现为0804847d

接下来要确认下字节序,简单说是输入

11111111222222223333333344444444\x08\x04\x84\x7d

还是输入

11111111222222223333333344444444\x7d\x84\x04\x08

图16:20145314郑凯杰《网络对抗技术》实验1 逆向及Bof基础实践_第15张图片

对比之前 eip 0x34333232 0x34333232 ,正确应用输入

11111111222222223333333344444444\x7d\x84\x04\x08

因此:

perl -e 'print "11111111222222223333333344444444\x7d\x84\x04\x08\x0a"' > input

图17:

可以使用16进制查看指令xxd查看input文件的内容是否如预期。

然后将input的输入,通过管道符“|”,作为pwn1的输入

图18:20145314郑凯杰《网络对抗技术》实验1 逆向及Bof基础实践_第16张图片

你可能感兴趣的:(20145314郑凯杰《网络对抗技术》实验1 逆向及Bof基础实践)