浅谈栈溢出漏洞利用技术——学习笔记

最新推荐文章于 2024-08-18 22:28:04 发布
最新推荐文章于 2024-08-18 22:28:04 发布
阅读量1.3k 收藏 8
点赞数 1
分类专栏： 学习草稿
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/LONH1253870265/article/details/86666441
版权

文章目录

基础知识

寄存器：重要寄存器

  • 重要寄存器：rsp/esp,pc,rbp/ebp,rax/eax,rdi,rdx,rcx

栈：一种先进先出的数据结构

  • 程序中的栈：
  • 内存中的一块区域，用栈的结构来管理，从高地址向低地址增长
  • 寄存器esp代表栈顶（最低栈地址）
  • 压栈（入栈）

push std->[esp]=sth,esp=esp-4

  • 弹栈（出栈）

pop std->sth=[esp],esp=esp+4

  • 栈用于保存函数调用信息和局部变量
  • 需要详细了解栈溢出漏洞的形式

函数调用

  • 函数约定

_stdcall,_cdecl,_fastcall,_thiscall,_nakedcall,_pascal

  • 参数传递，取决于调用约定，默认如下
    X86从右向左入栈，X64优先寄存器，参数过多时才入栈
  • 函数调用相关指令解读
  • call func -> push pc,jmp func
  • leave -> mov esp,ebp,pop ebp
  • ret -> pop pc

栈溢出的保护机制

栈上的数据被当做指令来执行

  • 数据执行保护机制（NX/DEP）
  • 绕过方法：ROP

让攻击者难以找到shellcode地址

  • 地址空间布局随机化（ASLR）
  • 绕过方法：infoleak、ret2dlresolve、ROP

检测Stack Overflow（栈溢出）

  • Stack Canary/Cookie
  • 绕过方法：infoleak

现在NX+Stack Canary+ASLR基本是标配

栈溢出的利用方法

现代栈溢出利用技术基础：ROP

  • 现在的程序默认都开启数据执行保护机制和地址空间布局随机化（NX+ASLR）这两种技术，传统的覆盖shellcode地址跳到shellcode那里执行的技术来玩儿，所以，现代就用ROP这种方式来绕过这两种技术
  • 一种代码复用技术，即利用程序中已经存在的代码行，通过控制栈调用来劫持控制流，不用注入什么其他的代码
  • 它的一种简化版本是Ret2libc
CTF中ROP技术的常见套路
  • 第一次触发漏洞，通过ROP泄露libc的地址（address）（如puts_got），计算system地址，然后返回到一个可以重新触发漏洞的位置（如main的开头），再次触发漏洞，通过ROP调用system("/bin/sh")，来拿到shell
  • 直接execve("/bin/sh",["/bin/sh"],NULL)拿到shell，通常静态链接时比较常用
  • Defcon 2015 Qualifier：R0pbaby
  • AliCTF 2016：vss
  • PlaidCTF 2013：ropasaurusrex

利用signal机制的ROP技术（SROP）

  • SROP（Sigreturn Oriented Programming）
  • 利用系统Signal Dispatch的一个机制，系统Signal Dispatch之前会把所有寄存器压入栈，然后调用signal handler，signal handler返回时会将栈的内容还原到寄存器中
  • 如果事先填充栈，然后直接调用signal return，那在返回的时候就可以变相控制寄存器的值
  • 用的不是特别多但是有时候很好用
  • defcon 2015 qualifier fukeup(比较难)
  • 建议自己写一个domo测试

没有binary怎么办（BROP）

  • BROP（Blind Return Oriented Programming）
  • 用的不是特别多但是在CTF比赛中出现过
BROP的目标
  • 在拿不到binary的情况下进行ROP
BROP的条件
  • 必须先存在一个已知的stack overflow漏洞，而且攻击者知道如何触发这个漏洞
  • 服务器进程在crash之后会重新复活，并且重新复活的进程不会被re-rand
  • HCTF 2016 出题人跑路了（pwn50）

以上这两种技术是ROP的分类（SROP和BROP），在CTF中不常见，但是的确出现过这种技术的题目

劫持栈指针（Stack Pivot）

  • 一种较为特殊的方法，相当重要的方法
  • 将栈指针劫持到非栈区域，在别处操作栈指针
  • 向目标缓冲区填入栈数据（如ROP Chains），然后劫持esp到目标缓冲区。劫持esp的方法有很多，最常用的就是ROP时利用可以直接改写esp的gadget，如pop esp，ret
劫持栈指针的动机
  • 溢出字节数有限，无法完成ROP
  • 栈地址未知且无法泄露，但是某些利用技术需要知道栈地址（ret2dlresolve）
  • 劫持esp到攻击者控制的区域，也就变相的控制了栈中的数据，从而可以使非栈溢出的控制刘劫持攻击也可以完成ROP
Stack Pivot的条件
  • 存在地址已知且内容可控的buffer
    • bss段，由于bss段尾端通常具有很大的空余空间（pagesize-usedsize），所以bss段尾端往往是Stack Pivot的目标
    • 堆块，如果堆地址已经泄露且数据可被控制，那堆也可以作为Stack Pivot的目标
  • 控制流可劫持
  • 存在劫持栈指针的gadgets
    • 如pop esp,ret，除此之外还有很多，要具体binary具体分析
  • EKOPARTY CTF 2016 fuckzing-exploit-200（基于栈溢出的Stack Pivot）
  • HACKIM CTF 2015 -Exploition 5（基于堆溢出的Stack Pivot）

利用动态链接绕过ASLR

  • 动态链接的过程就是从函数名到函数地址转换的过程，所以我们可以通过动态链接器解析任何函数，且无需任何leak
  • ret2dl resolve，fake linkmap
  • 该技术较为复杂
前置技能
  • 了解动态链接的过程，《程序员的自我修养》
  • 伪造动态链接的相关数据结构如linkmap，relplt等

利用地址低12bit绕过ASLR

  • Partial Overwrite
  • 这是一种较为重要的技术，经常用到的一个技术
  • 利用ASLR中低12bit不会被随机化的特性来绕过ASLR
  • 在PIE开启的情况下，一个32位地址的高20位会被随机化，但是低12位是不变的。所以，可通过只改写低12位来绕过PIE，不仅仅在栈溢出中使用，在各种利用中经常使用。
  • HCTF 2016 fheap（基于堆溢出的Partial Overwrite）

绕过Stack Canary

以上所有套路，一旦遇到Stack Canary均无法使用

  • 改写指针与局部变量、leak canary、overwrite canary
  • CTF中的不常用的技术，除非题目将栈溢出显露出来，否则一般情况下不会使用这种技术
绕过思路
  • 不覆盖Stack Canary，只覆盖Stack Canary前的局部变量，指针
    • 已经几乎不可行，编译器都会做一种防护，因为编译器会根据内存占有大小从小到大排列变量，
    • 但是在某些情况依然可用，需要结合实例分析
  • Leak Canary
    • 可以通过格式化printf泄露，Canary一般从00开始
  • Overwrite Canary（重写）
    • Canary在TLS中地址被随机化
    • 很少见

溢出位数不够用

  • 覆盖ebp，Partial Overwrite
  • Func 1:
    call func2
    leave(mov esp ebp,pop ebp)
    ret (pop ip)
  • Func 2:
    Stack Overflow
    leave(mov esp ebp,pop ebp)
    ret (pop ip)

可以覆盖Func2的ebp，会影响到Func1的esp，进而影响Func1的ip，完成对控制流的劫持。可以部分覆盖返回地址。

  • XMAN 2016 广外女生-pwn
  • Codegate CTF Finals 2015，chess
LovenSar
关注
专栏目录
[网络安全自学篇] 八十二.WHUCTF之隐写和逆向类解题思路WP（文字解密、图片解密、佛语解码、冰蝎流量分析、逆向分析）
杨秀璋的专栏
06-04 1万+
这是作者网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您喜欢，一起进步。前文分享了Easy_unserialize解题思路，详细分享文件上传漏洞、冰蝎蚁剑用法、反序列化phar等。这篇文章将详细讲解WHUCTF隐写和逆向题目，包括文字解密、图片解密、佛语解码、冰蝎流量分析、逆向分析。第一次参加CTF，还是学到了很多东西。人生路上，要珍惜好每一天与家人陪伴的日子。感谢武汉大学，感谢这些大佬和师傅们（尤其出题和解题的老师们）~
《后端架构师技术图谱》
weixin_70730532的博客
06-15 792
（Toc generated by simple-php-github-toc ）《java队列——queue详细分析》《LinkedList、ConcurrentLinkedQueue、LinkedBlockingQueue对比分析》每个节点最多有两个叶子节点。左右两个子树的高度差的绝对值不超过1，并且左右两个子树都是一棵平衡二叉树。二叉查找树（Binary Search Tree），也称有序二叉树（ordered binary tree）,排序二叉树（sorted binary tree）。MySQL是
栈溢出漏洞
03-30
湖湘杯2016网络安全技能大赛pwnme
软件安全实验——栈溢出漏洞利用
Fng的博客
08-29 2540
已知目标主机（Microsoft Windows XP SP3）运行着CCProxy 6.2(演示版)，且Microsoft Windows XP SP3内存0x7FFA4512处有一条JMP ESP指令，要求以"JMP ESP"为攻击跳板利用该栈溢出漏洞，攻击目标主机，在目标主机上创建一个用户（用户名为a）。
堆栈溢出漏洞：原理、利用与防范
最新发布
weixin_42130310的博客
08-18 1121
堆栈溢出漏洞是一种常见的安全漏洞，通常发生在程序使用不安全的字符串处理函数时。当程序尝试将超过预定大小的数据写入栈上分配的内存区域时，就会导致堆栈溢出。这种漏洞可能被攻击者利用，以覆盖返回地址或其他重要数据，从而控制程序的执行流。堆栈溢出漏洞是一种严重的安全风险，攻击者可以利用它来控制程序的执行流。通过使用安全的字符串处理函数和启用多种安全机制，可以有效地防止此类漏洞的发生。定期使用工具如checksec来检查程序的安全特性，将有助于提高系统的整体安全。
栈溢出漏洞介绍与利用
这里没人
05-14 4387
简介 栈溢出，0day漏洞中最简单的一种漏洞。相比起其它漏洞，栈溢出最容易被出现，也最容易利用。是一种非常常见的漏洞。一般如果服务器程序出现了栈溢出的漏洞，那么这台服务器距离被pwn也不远了。 原理 栈溢出的主要产生原因是因为程序对用户输入字符串的长度检查不严格，或者有逻辑漏洞，或者一些菜鸟根本没有进行长度检查而产生的漏洞。相信新手程序员一般都写过这样的代码。 char dest[...
有关栈溢出漏洞的利用
giglf的专栏
10-25 1381
具体资料：初步认识栈溢出漏洞    栈溢出的初步利用 具体实现效果 其实原理很简单，就是利用溢出修改函数返回的地址，令其跳转到另外一个位置 溢出首先改变了EBP储存的内容，然后紧接着就是返回的地址，这里修改的就是返回的地址 另外，这里还需要注意的一点是 因为汇编指令在内存中都是四字节对齐的，所以如果局部变量为char a[9
Linux栈溢出漏洞利用详解
ShadowBlade
09-04 4160
本节主要讲解了linux 32位系统栈溢出的利用原理。以一个实例，详细描述了linux栈溢出的原理和应用。 1.栈溢出背景知识 栈 栈又称堆栈，由编译器自动分配释放，行为类似数据结构中的栈(先进后出)。堆栈主要有三个用途： 为函数内部声明的非静态局部变量(C语言中称“自动变量”)提供存储空间。 记录函数调用过程相关的维护性信息，称为栈帧(Stack Frame)或过程活动记录(Procedure Activation Record)。它包括函数返回地址，不适合装入寄...
经典的栈溢出漏洞分析
09-27 549
c源码如下： #include<stdio.h> #include<string.h> int main(int argc,char* argv[]){ char buf[256]; strcpy(buf,argv[1]); printf("Input:%s\n",buf); return 0; } 系统是Ubuntu20.04，使用gdb-peda调试。 1.相关知识 首先，我们解释 首先，有个预备知识，c程序是通过__libc_start_mai..
溢出漏洞原理及利用(1)
Hades的博客
04-11 4564
溢出漏洞原理及利用 本文是作者学习过程的笔记整理而来的,如有错误,还请见谅! 溢出漏洞原理及利用 实验环境 实验目的 编写一个简单的有溢出漏洞的程序 查看程序崩溃日志,找到崩溃点 实验环境 Windows 10 Visual Sutdio 2015 x32dbg(x64dbg) *010Editor 实验目的 学习溢出漏洞的原理 学会手工查看程序崩溃...
【南卡樱桃|读书笔记《学习高手》】
weixin_44698581的博客
04-21 9624
∝学霸分享 6大课 通过英语、写作和SMART原则、OKR工作法、LEO解读五步法等文章。同样适用于国内教育环境。 ∝3 学霸分享，直通世界名校的超级学习法 ∞第18课 LEO手把手教你如何学好英语 ◆第1小课 单词 ◆第2小课 语法 ◆第3小课 听力 ◆第4小课 阅读 ◆第5小课 口语 LEO的学习仪式感 我在不同英语学习阶段使用的教材 ∞第19课 三要素写作法，把文章写到读者心里去 ◆第1小课 Ethos，可信 ◆第2小课 Pathos，情感 ◆第3小课 Logos，逻辑 ◆19-本课核心方法回顾 ∞第
Unix哲学学习笔记
xiajian2010的专栏
07-23 3456
语句摘录: Preface 知识和专能差异巨大，凭借知识可以推断该做什么，而专能可以让你在无意见，条件反射似的把事情做好。 少一些技术，多一些共享文化：显见和显微的，直观和潜流的，不止与方法，更重乎理念。 场景:哲学和历史；设计：哲学原理细分为有关设计和实现；工具:Unix提供的工具；社群:人与人之间的事物和约定。 须弥不重，芥子不轻；Unix程序员的教养。 构成文化是人，获知文化的方
小程序的学习资料收集
weixin_30414245的博客
02-23 2944
收集学习资料 1：官方工具：https://mp.weixin.qq.com/debug/w ... tml?t=1476434678461 2：简易教程：https://mp.weixin.qq.com/debug/wxadoc/dev/?t=1476434677599 3：设计指南：https://mp.weixin.qq.com/debug/wxadoc/desig...
栈溢出的漏洞利用过程_vivotek栈溢出漏洞复现_零基础攻防记录贴
2401_84915584的博客
05-16 370
​ 老办法通过IDA搜索报错字符串，定位到如下位置，可以发现报错原因是因为此程序中使用函数将主机名保存在中，并使用函数通过主机名找到IP地址。
Windows内存漏洞——栈溢出漏洞及其利用分析
theglasssky的博客
05-25 827
windows系统中内存漏洞中关于栈溢出的部分
栈溢出漏洞利用小结
M021的专栏
10-07 3120
总结一些栈溢出漏洞利用的技巧。在分析一个可执行文件前，需要先利用file命令判断是32bit还是64bit，注意函数传参时栈平衡。然后看看开启了什么防护，比如：NX、PIE、RELRO、FORTIRY、CANARY。如果开启了CANARY，就不是栈溢出利用那么简单了。
【软件与系统安全】上机作业practice1-栈溢出利用的分析
Wking
04-25 782
软件与系统安全上机作业——栈溢出利用的分析
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值