实验目的与要求
-
强化机器级表示、汇编语言、调试器和逆向工程等方面基础知识，并结合栈帧工作原理实现简单的栈溢出攻击，掌握其基本攻击基本方式和原理，进一步为编程过程中应对栈溢出攻击打下一定的基础。
-
理解缓冲区的工作原理和字符填充过程及其特点。对于无边界检测的语言及其工作方式所造成的缓冲区漏洞加深理解。
-
通过字符串填充的方式，完成5个阶段的缓冲区攻击。分别基于基本返回地址填充、攻击代码填充、ROP等实现这5个难度递增的阶段的缓冲区溢出攻击。
实验原理与内容
“AttackLab”是一个Linux下的可执行C程序，包含了5个阶段（phase1~phase5）的不同内容。程序运行过程中，要求学生能够根据缓冲区的工作方式和程序的反汇编代码来确定攻击字符串长度和字符串中的关键内容。每次成功实现缓冲区溢出攻击时都会有提示相应内容，如果攻击失败则单纯的提示segmentation fault相关信息。
要求攻击字符串的执行不许绕开代码中的validate函数，缓冲区溢出之后对应ret的返回地址可以是以下类型：
1.函数touch1、touch2、touch3的首地址；
2.自行注入的攻击的首地址；
3.在后两个阶段中（ROP攻击），与farm.c的对应的可利用的gadget的起始地址，farm.c对应的机器码已经包含在可执行文件中。可以使用的gadget首地址需处于start_farm和end_farm之间的部分。
注意：前三个阶段使用ctarget作为攻击目标文件，后两个阶段中使用rtarget作为攻击目标文件。
每个阶段考察一个缓冲区溢出方式，难度逐级递增：
n阶段1：使用非ROP方式对ctarget进行攻击，调用touch1，且成功输出Touch1!: You called touch1。若不完全满足题目要求，则会提示“Misfire”和FAIL相关字段。
n阶段2：使用非ROP方式对ctarget进行攻击，调用touch2，且成功输出Touch2!: You called touch2。攻击过程中需要改写cookie变量的值。若不完全满足题目要求，则会提示“Misfire” 和FAIL相关字段。
n阶段3：使用非ROP方式对ctarget进行攻击，调用touch3，且成功输出Touch3!: You called touch3。攻击过程中需要使hexmatch的返回值能够正确引导validate函数。若不完全满足题目要求，则会提示“Misfire” 和FAIL相关字段。
n阶段4：使用ROP方式对rtarget进行攻击，调用touch2，且成功输出Touch2!: You called touch2。若不完全满足题目要求，则会提示“Misfire” 和FAIL相关字段。
n阶段5：使用ROP方式对rtarget进行攻击，调用touch3，且成功输出Touch3!: You called touch3。若不完全满足题目要求，则会提示“Misfire” 和FAIL相关字段。
ctarget和rtarget都从standard input读入数据，可以以重定向文件的形式进行输入。实验利用getbuf函数中的缓冲区。getbuf函数的结构如下：
unsigned getbuf()
{
char buf[BUFFER_SIZE];
Gets(buf);
return 1;
}
函数中的Gets函数与标准库中的gets函数类似，它从standard input中读取字符（以\n或者EOF结尾）并将它们添加字符串结尾符\0后存入缓冲区中。学生需要根据ctarget和rtarget文件及其反汇编代码来确定缓冲区位置及大小，并想办法构建出攻击字符串。
实验设备与软件环境
1．Linux操作系统—64位Ubuntu 18.04
-
gdb调试器和objdump反汇编指令
-
笔记本
实验过程与结果（可贴图）
ctarget的函数调用链：main() -> test() -> getbuf() -> Gets()
我的cookie值为：0x49e7ed15
现将ctarget生成汇编代码，开始做题：
阶段1
首先查看getbuf的汇编代码：objdump -d ./ctarget
实验过程与结果（可贴图）
ctarget的函数调用链：main() -> test() -> getbuf() -> Gets()
我的cookie值为：0x49e7ed15
现将ctarget生成汇编代码，开始做题：
阶段1
首先查看getbuf的汇编代码：objdump -d ./ctarget
从中可以看出BUFFER_SIZE的大小是56 (16进制 0x38)，retq指令作用等价于：可以通过objdump -d命令查看ctarget的汇编代码，从而设计自己的注入字符串。
反汇编函数test
反汇编touch1
touch1函数的起始地址为0x4018e5。getbuf在栈中分配了56个字节的内存来存储输入数据。在执行ret指令后，从%rsp+56处获得返回地址，因此我们需要来利用缓冲区溢出覆盖掉其返回地址，就可以将返回地址修改为touch1的起始地址。
构造合适的字节序列（16进制表示），写到文件phase1.txt 中。
我的机器使用 小端法 。e5 18 40 00 00 00 00 00 表示的地址就是 0x4018e5
执行以下指令进行测试
cat phase1.txt | ./hex2raw | ./ctarget -q
阶段2
在第二个实验中需要在注入字符串中加入一小段的代码
Touch2的起始地址为0x401913，而“cmp %edi,0x203bdb(%rip) ”说明touch2中的val则存在$edi中。也就是我们需要先将edi中的值设置为cookie,然后再跳转到touch2执行。
建立phase2.s文档，输入注入代码内容为：
利用gcc -c phase2.s和objdump -d phase2.o命令得到机器代码：
可以得到三条指令序列如下：
48 c7 c7 15 ed e7 49 68 13 19 40 00 c3
接下来就是寻找%rsp的地址，利用gdb进行调试
自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。
深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！
因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。
既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点，真正体系化！
由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新
如果你觉得这些内容对你有帮助，可以添加VX：vip204888 （备注网络安全获取）
3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点，真正体系化！**
由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新
如果你觉得这些内容对你有帮助，可以添加VX：vip204888 （备注网络安全获取）
[外链图片转存中…(img-TePfbvi5-1712649771844)]
扫一扫
4887
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
