Cross-Site Scripting (XSS) Attack Lab
1、名词解释:double free,UAF (Use After Free),RELRO(Relocation Read Only),
Dangling pointer,Control Flow Guard
2、阅读下面这三篇文章:
UAF学习--原理及利用
https://www.cnblogs.com/alert123/p/4918041.html
Linux内核提权漏洞的分析和利用(CVE-2016-0728)
http://www.freebuf.com/vuls/93799.html
通过UseAfterFree实现命令执行
https://bbs.pediy.com/thread-221537.htm
Cross-Site Scripting (XSS) Attack Lab
发布一个帖子,用JavaScript的alert语句弹出警告窗口,参数为窗口中的字符串。
打开这个帖子时,就会弹出以下窗口。
把cookie的值传入alert中作为参数,以显示浏览者的cookie
打开这个帖子时,就会弹出用户的cookie。
构造如下攻击脚本语句,把用户的cookie送到攻击者的主机:
显示出来的帖子是这样的,我们请求了一个不存在的图片:
在浏览者浏览这个帖子时,他的cookie值就被发送到了攻击者的电脑上:
首先先用Firefox的LiveHTTPHeaders插件进行查看发帖的过程
我们需要将Java程序中的addRequestProperty和data进行修改,主要是加入我们监听到的cookie和sid。注意data中的sid需要修改。
编译并运行:
已经使用假冒被监听的用户发帖了:
为了能够让这个蠕虫可以以浏览者的身份发帖,我们首先要用JavaScript得到用户的cookie,这个在前面已经做过了;然后我们需要从此cookie中提取出section ID,这个可以用JavaScript提供的一些字符串操作函数来完成;最后要利用这个section ID构造一个发帖请求,发帖请求的格式可以通过LiveHTTPHeader来侦听一个真正的发帖请求来得到。
下面是实验代码,参考提供的实验报告:
这时点击task5这个帖子,就会自动冒名浏览者的身份发帖:
要写一个可以自我复制的蠕虫,在上面的基础上主要是该蠕虫发的帖子的内容应该包含自身。
构建代码如下:
这样连被冒名的人发的帖子都会包含蠕虫病毒。
Double Free:是指同一个指针free两次,在free时利用伪造chunk并且欺骗操作系统,达到修改内存的目的。double free的原理和堆溢出的原理相似,都是通过unlink这个双向链表删除的宏来利用的。只是double free需要由自己来伪造整个chunk并且欺骗操作系统。
UAF:是指释放了一个堆块后,并没有将该指针置为NULL,这样导致该指针处于悬空的状态,同样被释放的内存如果被恶意构造数据,就有可能会被利用。
RELRO:重定向只读,就是指由linker指定binary的一块经过dynamic linker处理过 relocation之后的区域为只读。
Dangling pointer:悬空指针,一个指针所指的内存被释放后,这个指针就被称为悬空指针。访问悬空指针,结果随机。可能导致程序功能不正常,也可能导致程序崩溃。如果受到影响的是其它功能,问题通常很难定位。
Control Flow Guard:是一种高度优化的平台安全功能,旨在解决内存损坏漏洞。通过严格限制应用程序可以执行代码的位置,使得利用缓冲区溢出等漏洞执行任意代码变得更加困难。
(1)UAF学习--原理及利用
https://www.cnblogs.com/alert123/p/4918041.html
文章首先提了两点:1、在free一块内存后,接着申请大小相同的一块内存,操作系统会将刚刚free掉的内存再次分配。2、通过p2能够操作p1,如果之后p1继续被使用(use after free),则可以达到通过p2修改程序功能等目的。
主要就是依靠以上两点,文章举了个实例来演示。主要思想就是在指针释放后再申请相同大小的内存,系统会将刚释放的地址进行分配,因此可以修改被释放的内存数据(例子中将strlen指向的真实strlen地址,修改为system的真实地址),这时候我们再接着使用被释放的指针(例子中看似执行call strlen,实则执行了system函数),则会造成UAF漏洞。
(2)Linux内核提权漏洞的分析和利用(CVE-2016-0728)
http://www.freebuf.com/vuls/93799.html
cve-2016-0728是一个linux平台上的UAF漏洞。漏洞主要的原因是由于keyrings组件当中的引用计数问题导致的。
如果某个进程导致内核对同一对象解引用0×100000000次,它会让内核认为该对象已没有被引用,因此会释放该对象。如果同一个进程还拥有对象的另一个合法引用,并在内核释放之后进行利用,便会造成内核引用一个已释放或者已重新分配的内存区域。通过这种方法,我们可以构造一个内存释放后再使用的漏洞(use-after-free)。
(3)通过UseAfterFree实现命令执行
https://bbs.pediy.com/thread-221537.htm
这也是一个UAF漏洞,漏洞程序是一个用链表实现的简单留言板。
在释放一个msg结构指针后,再分配时,就会返回相同的堆块,这时候就会将用户输入的内容(content)拷贝到content指针中,即我们构造的恶意内容,覆盖了原来的Message中的char* author、char* title等地址内容。我们把free函数的GOT表地址覆盖成system函数地址,下次在执行free函数时,就会执行system函数,从而达到命令执行。