计算机系统实验-BufLab

一.实验题目及目的

1.实验题目

       程序运行在linux环境中，从输入获得一个字符串，将这个字符串放入指定的buf处，buf的大小为32，需要分析栈帧、buf位置等信息，通过输入字符串使缓冲区溢出，完成指定的函数调用等目标。

2.实验目的

       通过缓冲区溢出，熟悉函数调用的过程和栈帧结构的建立等。

二.实验内容

1.实验文件及实验准备

       实验文件共有三个，bufbomb，hex2raw，makecookie。bufbomb是需要进行缓冲区溢出攻击的文件。实验过程需要用到userid和对应的cookie，cookie使用makecookie生成，hex2raw用于将16进制数据转换为字符串输入。

       在实验中使用学号202004061409作为userid，cookie为0x73b099ff，并将bufbomb反汇编保存到文件中进行分析。

2.实验过程

       getbuf函数如下，缓冲区大小为32，调用了Gets()。

(1)Level0:Candle

       要求输入字符串使getbuf()不正常返回，而是执行smoke()函数.

       getbuf()函数在test中调用。

       getbuf的汇编代码如下：

       getbuf中调用了Gets，并将缓冲区地址作为参数传入，根据getbuf的汇编代码，buf的起始位置为ebp-40的位置，而根据栈帧建立的规则，返回地址的位置在ebp+4，故只需要向缓冲区写入48个字节的内容，就可以覆盖修改返回地址，为了调用smoke()函数，将返回地址修改为smoke()的地址，即08048e0a。

       因此输入的数据最后四个字节为0a 8e 04 08。0a会被当作\n，因此修改为smoke的第二条指令地址，即0a修改为0b。

       新建文件输入16进制数据如下：

       使用hex2raw将其转换为字符串数据输入，成功调用smoke()。

(2)Level1:Sparkler

       Level1要求输入字符串后调用fizz()函数，并需要将cookie值作为参数传入，代码如下：

       Fizz()的汇编代码如图所示，userid对应的cookie值位于0x804d104，传入的参数cookie在ebp+8的位置。需要找到fizz建立的栈帧的ebp的值。在getbuf返回前，执行了leave指令，leave指令等同于mov ebp，esp；pop ebp。然后执行ret指令进入fizz还会执行pop eip，因此在进入fizz()前，esp的值为原getbuf()函数的ebp+8。由于fizz不是由call指令调用的，没有返回地址入栈的过程，进入fizz()后，ebp入栈使esp的值-4，因此getbuf的ebp+8-4就是新的ebp的值，即新的ebp为getbuf的ebp+4。所以只要将getbuff的ebp +12的位置写入正确的cookie值，就可以向fizz()传入正确的cookie值。

       因此向缓冲区写入56个字节的内容，45-48字节为fizz()的地址，53-56字节为0x73b099ff，新建文件，16进制数据如下：

       转换为字符串输入，成功调用了fizz()并传入了正确的cookie值。

(3)Level2：Firecracker

       这一次需要调用的是bang()函数，如下：

       bang函数使用了全局变量，需要将全局变量global_val设置为cookie值。

       需要在getbuf返回时先跳转到一段代码，在这段代码中设置global_val为cookie值，然后将bang的地址入栈，通过ret指令跳转执行bang()。最后的跳转使用ret是因为call和jmp指令使用PC相对寻址，难以设置正确。

       bang()的汇编代码如下，global_value的地址为0x804d10c，需要把cookie值写入这个地址。

       把cookie值写入global_value并跳转执行bang()需要执行以下指令：

       将这段代码编译，再反汇编得到这段代码的机器码：

       只需要将机器码写入buf，在getbuf返回时跳转到buf的起始位置，执行这些指令就可以了。buf的位置是esp-40，只能通过gdb调试找到运行时的位置。

       gdb调试将断点打在0x804926b的位置，此时正在向Gets()传参，eax中的值为esp-40。这个值为0x556834e8。

       同(1)中相同，向缓冲区写入48个字节的数据，开头为需要执行指令的机器码，，且机器码不需要考虑大小端，44-47字节为buf的首地址0x556834e8：

       转换为字符输入，调用bang()成功。

(4)Level3：Dynamite

       Level3需要完成的任务是在执行getbuf()后，将getbuf()的返回值修改为cookie值，并返回到test()函数，同时恢复被破坏的栈。

       类似于level2，通过缓冲区溢出在getbuf()返回时跳转到一段代码，在这段代码中完成getbuf返回值的修改，栈的恢复，最后使用ret指令返回到test()当中。恢复到test()函数的栈帧，需要恢复ebp的值，在getbuf()返回前会在leave指令中pop ebp恢复旧的ebp值，但是这个值被复制进缓冲区的字符覆盖掉了，因此需要找到ebp的值并恢复。

       修改返回值只需要将cookie值放入eax寄存器就可以了。恢复test()函数的ebp的值需要使用gdb调试找到，将断点设置在0x8048e40处，此处test()函数的栈帧已经建立。找到ebp的值为0x55683540。在指令中给ebp赋值或者在输入的字符串直接将这个值写入存放旧的ebp的位置都可以完成栈的恢复。

       最后是使用ret指令返回test()，返回到call getbuf的下一条指令处0x8048e50。最终需要执行的汇编代码如下：

       反汇编得到机器码如下：

       最终输入的字符串的16进制形式如下：

       转换为字符输入，结果如下：

(5)Level4：Nitroglycerin

       本关与level3中任务相同，不同的是使用-n标志运行程序，会调用testn()，在testn()中调用getbufn()五次，且缓冲区的大小为512字节。每次getbufn()的栈空间随机，因此不可以再使用level3中的方式找到buf的起始位置，但栈帧结构是相同的，可以利用这一点找到buf的大致位置。

      buf的地址

       首先先找到buf的大致位置，确保可以跳转到这里执行需要执行的指令。

       getbufn的汇编代码如下，buf的首地址是ebp-0x208。

       接下来进入gdb调试，将断点打在0x8049247，此处getbufn的栈帧已经建立完毕：

       五次调用getbufn，buf的首地址如下：

       0x55683308

       0x556832c8

       0x55683318

       0x55683308

       0x55683358

       因此可以找到buf首地址的大致范围0x556832c8-0x55683358。

       改写getbufn的返回地址只能跳转到一个固定的地址，如何在跳转到固定地址后能够执行需要执行的指令，需要使用nop指令，利用一种nop sled的方式实现。nop sled就是在实际攻击代码前插入多条nop指令，nop指令只对PC+1，只要可以跳转到nop指令的部分，就可以一直执行到实际的攻击代码处并执行攻击代码。以上已经试探过了buf首地址的大致范围，选取首地址最大的0x55683358处，跳转到这里就可以保证进入缓冲区，然后在写入的数据中先插入nop指令，把攻击代码放到后面就可以了。

需要执行的代码

       能够保证跳转到合适的位置，接下来就可以准备需要执行的代码了。需要完成的工作为修改getbufn的返回值，恢复testn的ebp，返回testn。其中修改返回值和返回testn与level3相同。

       恢复testn的ebp可以通过观察testn与getbufn的栈帧情况进行处理。testn的部分汇编代码如下：

       结合getbufn的汇编代码，可以得出getbufn的栈帧关系如下：

       在getbufn返回前执行的leave指令将ebp的值赋给esp，然后弹出testn的ebp（已被覆盖），然后通过ret指令pop eip跳转执行指定的指令，esp+8。getbuf调用前后，esp的值是不变的。因此要恢复testn的ebp，只需要将esp+0x28赋值给ebp。

       最终需要执行的代码如下：

       编译后反汇编如下：

       因此最终输入的数据如下，共528个字节：

       由于getbufn执行5次，需要5次以上数据的输入，使用0a(\n)分隔。转换为字符后输入，目标完成。

三.实验总结

      通过本次实验，加深了对缓冲区溢出的理解，并学习了解了缓冲区溢出攻击的方法，更加熟悉了函数调用时栈帧建立的过程和栈帧情况。其中最主要的是理解了缓冲区溢出攻击的方式，即通过溢出覆盖返回地址跳转到一段设定的程序进行执行，并可以通过恢复寄存器的方式恢复栈帧，以及应对动态堆栈的nop sleds方法。