caspp attacker lab

已于 2023-12-10 22:13:59 修改
阅读量92 收藏
点赞数
分类专栏： 面试题 笔试 C++ 文章标签： 汇编
于 2023-11-14 19:52:58 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43876597/article/details/134261577
版权
C++ 同时被 3 个专栏收录
43 篇文章 0 订阅
订阅专栏
面试题
29 篇文章 0 订阅
订阅专栏
笔试
28 篇文章 0 订阅
订阅专栏

attacker lab

advice

在这里插入图片描述

phase 1

ctarget 会先调用test , test调用getbuf, getbuf调用Get。
任务目的是通过缓冲区注入攻击，将函数getbuf返回直接重定向到函数touch1。
在这里插入图片描述
0x28 是 40 比特，
在这里插入图片描述
gdb ./ctarget
在这里插入图片描述

  401971:	e8 32 fe ff ff       	callq  4017a8 <getbuf>
  401976:	89 c2                	mov    %eax,%edx

rsp 指向的虚拟地址 0x5561dca0, 这个地址对应的内容是 0x00401976, 所以在输入没有超过40个字符的情况，rsp 指向的是getbuf 之后的下一个地址。
401971 + 5 个字节(e8 32 fe ff ff) 是 401976.

getbuf 下一次执行的指令是401976, rsp对应的汇编文件行数,
在这里插入图片描述
通过objdump 可以获取地址,
在这里插入图片描述
40个字符加上touch1的地址,
在这里插入图片描述

课件的例子1
在这里插入图片描述
课件的例子2
在这里插入图片描述
在这里插入图片描述
ret 返回的地址是通过rsp存储的虚拟地址，在访存阶段后，从内存获取的值。
call 在访存阶段回更新内存的地址，将下一条指令放入，进程的堆栈里，所以对应的进程的栈的范围的最顶端，是ret的地址。
rsp 是stack pointer register, rip 也可以理解为PC, 是指令寄存器。
valp 等属于电路概念，不详细讨论。

phase 2

ctarget 会先调用test , test调用getbuf, getbuf调用Get。
在phase1, 里通过修改缓冲区，是getbuf函数执行ret之后，跳转到touch1, 和touch1 不同的地方在于 touch2 是有入参数的，入参数需要通过在缓冲区里增加对rdi的修改，进行赋值。同时也要ret 执行后，确保rsp指向的地址的内容是touch2函数地址。
根据汇编可以看到，使用edi寄存器传递参数给edx。
任务目的是通过缓冲区注入攻击，将函数getbuf返回直接重定向到函数touch2。
在这里插入图片描述
在这里插入图片描述
参考了知乎网友的翻译，这里需要判断val，储存在rdi的值，和 cookie的值，cookie的值是0x59b997fa。

pushq $0x4017ec
mov $0x59b997fa, %rdi # save cookie into rdi
retq #

将汇编代码转为二进制

gcc -c phase2_mov.s 
objdump -d phase2_mov.o > phase2_mov.d

在这里插入图片描述

[root@edb3963640a6 target1]# ./hex2raw < phase2.txt > phase2-raw.txt
[root@edb3963640a6 target1]# ./ctarget -q < phase2-raw.txt

使用gdb 查看stack frame,
在这里插入图片描述
多层stack frame,
在这里插入图片描述
简单介绍stack frame和函数调用的关系
在这里插入图片描述
需要获取rsp 的初始地址，
在这里插入图片描述

调用函数getbuf时候rsp是0x5561dca0 - 0x28 的到 0x5561dc78
在这里插入图片描述
getbuf 函数在调用get函数前，会存入ret address, 这个地址放入rsp, 之后rsp - 0x28, 写入0x28个字符，这部分字符的内容是修改rdi, 然后调用touch2, 然后多出来的部分会影响函数，使函数的返回地址修改rdi的值的地址。
在这里插入图片描述

答案如下:
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

phase3

在这里插入图片描述

汇编相关语法

pushq

在这里插入图片描述

call 指令

在这里插入图片描述

stack frame

在这里插入图片描述
在这里插入图片描述

函数

stack frame

在这里插入图片描述
call_echo 函数调用 echo 函数， call_echo函数的底部是echo执行完之后的地址。

control flow

在这里插入图片描述

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

pushq 指令

pushq指令在执行时会将栈指针rsp减小8个字节，以便为要压入栈中的数据腾出空间。这样，rsp将指向新的栈顶位置，即之前压入的数据的下一个位置。因此，pushq指令会通过减小rsp的值来更新栈指针。

rip寄存器

rip寄存器的值是由call指令或条件跳转指令等控制流指令来改变的。

参数寄存器

入参数寄存器是指在函数调用时，将参数值存储到特定的寄存器中，以便被调用的函数使用。不同的计算机体系结构和函数调用约定可能会有不同的入参数寄存器。

以下是一些常见的入参数寄存器：

  1. x86架构：在x86架构中，通常使用EAX、EBX、ECX和EDX寄存器来存储前四个整型参数。如果参数超过四个，额外的参数会通过堆栈传递。

  2. ARM架构：在ARM架构中，通常使用R0、R1、R2和R3寄存器来存储前四个整型参数。如果参数超过四个，额外的参数会通过堆栈传递。

  3. MIPS架构：在MIPS架构中，通常使用A0、A1、A2和A3寄存器来存储前四个整型参数。如果参数超过四个，额外的参数会通过堆栈传递。

需要注意的是，这些寄存器的使用方式可能会受到编译器和函数调用约定的影响。不同的编译器和函数调用约定可能会使用不同的寄存器来存储参数。

对于其他类型的参数（如浮点数参数），通常会使用特定的浮点寄存器来存储。例如，在x86架构中，浮点数参数会使用XMM0、XMM1、XMM2等寄存器来存储。

总之，入参数寄存器用于存储函数调用时传递的参数值，以便被调用的函数使用。它们可以提高函数调用的效率，因为参数可以直接存储在寄存器中，而不需要通过堆栈传递。

edi寄存器

EDI寄存器是x86架构中的一个通用寄存器，全称为Extended Destination Index。它是32位寄存器，可以存储32位的数据。

EDI寄存器在x86体系结构中通常用于存储目的地址，特别是在字符串操作和数据传输指令中经常使用。例如，字符串复制指令"rep movs"中，源地址会存储在ESI寄存器中，而目的地址则存储在EDI寄存器中。

EDI寄存器也可以用于存储其他类型的数据，不仅限于地址。在函数调用中，EDI寄存器可以用作通用的临时寄存器，存储临时变量或计算结果。它可以在函数内部进行数据操作和传递。

EDI寄存器是可被程序员使用的通用寄存器之一，但在函数调用过程中，它也会被用作传递参数的寄存器之一。根据函数调用约定，EDI寄存器可能会被用来存储函数调用的返回地址或其他参数。

需要注意的是，EDI寄存器是32位寄存器，如果需要存储64位数据，可以使用EDI寄存器的低32位来存储。在64位x86架构中，RDI寄存器是EDI寄存器的64位版本。

总之，EDI寄存器是x86架构中的一个通用寄存器，用于存储目的地址或其他数据。它在字符串操作、数据传输和函数调用中经常使用。

参考资料

https://www.cs.cmu.edu/afs/cs/academic/class/15213-f17/www/lectures/09-machine-advanced.pdf
https://www.cs.cmu.edu/afs/cs/academic/class/15213-f15/www/lectures/07-machine-procedures.pdf
https://github.com/magna25/Attack-Lab/blob/master/Phase%202.md
https://zhuanlan.zhihu.com/p/107048472
https://zhuanlan.zhihu.com/p/105428280
https://zhuanlan.zhihu.com/p/60724948
https://zhuanlan.zhihu.com/p/107450834

Nahida_nora
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
【Seedlabs】Local DNS Attack Lab
seven49的博客
04-07 3499
目录 一、实验概述 二、实验环境 2.1 测试 DNS 设置 三、实验内容 域名解析 Answers 毒化 2、域名解析 NS 毒化 3、kaminsky 攻击 一、实验概述 DNS (Domain Name System) is the Internet’s phone book; it translates hostnames to IP addresses (and vice versa). This translation is through DNS resolution...
Format-String Vulnerability Lab
qq_39249347的博客
07-09 841
实验准备 Ubuntu16.04 存在漏洞的程序server.c、输入文件exploit.py 预备知识 开始实验 获得root权限的shell 从seed实验室官网获取server.c存在字符串格式化漏洞的程序。#include <stdio.h> #include <stdlib.h> #include <unistd.h> #include <string.h> #include <sys/socket.h> #include &l
seedlab：PKI LAB
gungir_的博客
09-09 1846
seedlab的PKI lab实验
lab11——DNS欺骗
(∪.∪ )...zzz的博客
12-19 952
一、DNS 1. 域名层次结构 树状 每个节点：域、子域 根域、顶级域、二级域 2. 区域 DNS区域仅包含域的一部分DNS数据 一个域 被划分子域的时候，他们的DNS数据仍然可以放在同一个区域中，因此域和区域仍相同 子域可以有自己的区域 3. 权威名称服务器 每个DNS区域至少有一个 权威域名服务器 发布有关该区域的信息 DNS查询的原始、最终答案 4. 根服务器 root 13个 提供TLD的名称服务信息 DNS查询的起点 5. 顶级域TLD 基础结构 .arpa 通用：.com .
SeedLab——DNS Attack Lab
Aft3rGl0w的博客
01-14 1541
然后，本地DNS解析器继续向顶级域名服务器发送查询请求，获取次级域名服务器的地址，以此类推，直到找到负责该域名的DNS服务器。因为查询中的事务ID通常是随机生成的，没有看到查询数据包，攻击者很难知道正确的ID。在 DNS 中，超出域的附加记录是指在 DNS 查询中包含的与请求的域不相关的额外记录。这是通过更改用户机器的解析器配置文件（/etc/resolv.conf）来实现的，将服务器10.9.0.53添加为文件中的第一个nameserver条目，也就是说，这个服务器将被用作主要的DNS服务器。
shellshock-Attack-Lab
qq_49005782的博客
11-07 4017
shellshock Attack Lab 实验概述 实验背景 2014 年 9 月 24 日，发现了 Bash 中的一个严重漏洞 Shellshock，这个漏洞可以用于许多系统，可以远程启动，也可以从本地机器启动。在这个实验中,学生们需要研究这种攻击，这样才能了解Shellshock 的脆弱性. 此次实验包括以下四个内容： Shellshock Environment variables Function definition in bash Apache and CGI programs 实验
【SEED LABS】The Kaminsky Attack Lab
qq_43599063的博客
08-10 1884
这个实验的目的是让学生获得关于远程DNS缓存中毒攻击(也称为Kaminsky DNS攻击)的第一手经验。DNS(域名系统)是互联网的电话簿;它将主机名转换为IP地址，反之亦然。这种转换是通过DNS解析进行的，它在幕后进行。DNS攻击以各种方式操纵这个解析过程，目的是将用户误导到其他目的地，这通常是恶意的。这个实验室专注于一种特殊的DNS攻击技术，称为DNS缓存中毒攻击。 • DNS and how it works • DNS server setup • DNS cache poisoning attac
TCP/IP Attack Lab
weixin_48512332的博客
05-12 1337
Lab Environment Network Setup. To conduct this lab, we need to have at least 3 machines. One computer is used for attacking, the second computer is used as the victim, and the third computer is used as the observer. For convenience, I set up 3 virtual mach
【SEED LAB】TCP/IP Attack Lab
qq_43599063的博客
07-18 2890
原因这就是SYNcookie机制的作用它在接收到客户端的SYN包时，不立刻为连接分配资源，而是根据SYN包计算一个cookie值作为SYNACK包的初始序列号。此处nc命令的使用是表示在Attacker中开启的是9090端口，也就是相当于启动了一个tcp服务，此服务监听了从9090端口输入进来的内容。这一机制保证了在遭受SYN洪泛攻击时，受害者主机的半开连接队列的资源不会被耗尽，从而能接受观察者主机的正常连接。在Client中由于会话被劫持，已经不能再输入其他的命令了。发现已经无法在其中键入命令。...
Lab1 Packet Sniffing and Spoofing Lab
qq_43599063的博客
07-06 3282
@[TOC]Packet Sniffing and Spoofing Lab 实验网站连接link2.1先把docker-compose.yml放到虚拟机的某个文件夹下。 2.2 然后再文件所在的目录下输入命令运行 docker-compose up -d就能直接配置并在后台运行。1.编写python代码进行嗅探数据包。 2.找到自己的interface。 3.给sniffer文件赋予权限，并以管理员身份运行文件。在运行时要再启动一个终端进行ping10.9.0.5,来获取10.9.0.5发来的icmp
IPMsg Attacker V2.12
11-10
1. 软件简介 - 该程序专门攻击IPMsg程序，令被攻击者机器上会狂弹IPMsg收到信息的窗体框，影响正常操作。 - Windows Server 2003 SP2 简体中文版 + Visusl Studio.Net 2005 Professional Edition 简体中文版 ...
Netbot Attacker 4.6
12-29
Netbot Attacker 4.6 bot的终端控制程序，简单上手
attacker_server
03-06
attacker_server
attacker login.mov
10-26
用账号登录服务器
Netbot Attacker 5.5
12-29
Netbot Attacker 5.5 bot的终端控制程序，简单上手
CSAPP Malloc lab
weixin_43876597的博客
03-10 1354
是一个 C 语言中的语句，它的含义是将一个指针类型的值设置为-1，然后将其转换为void指针类型，并返回。这通常用于表示一个特殊的错误条件或者指示函数执行失败。sizeof函数的单位是byte。ALIGN 找到最小的alignment的倍数。
CSAPP cache lab - Optimizing Matrix Transpose
weixin_43876597的博客
01-08 1149
矩阵转置是一种操作，它将矩阵的行和列互换位置，即将原始矩阵的行变为转置矩阵的列，将原始矩阵的列变为转置矩阵的行。转置操作可以通过改变矩阵的布局来方便地进行某些计算和分析。假设有一个m×n的矩阵A，其转置矩阵为n×m的矩阵B。那么B的第i行第j列的元素就是A的第j行第i列的元素，即B[i][j] = A[j][i]。可以看到，B的第一行是A的第一列，B的第二行是A的第二列，以此类推。矩阵转置在很多领域中都有广泛的应用，例如线性代数、图像处理、矩阵运算等。
leetcode 1702
最新发布
weixin_43876597的博客
04-11 1072
首先，需要定义自定义数据结构，可以是一个类或者结构体，包含希望进行迭代访问的元素。接下来，需要实现一个迭代器类，用于访问自定义数据结构中的元素。迭代器类负责追踪当前位置，并提供方法来获取下一个元素、判断是否到达结尾等。在自定义数据结构中提供一个接口，让用户能够获取迭代器的实例。这通常是通过方法或者重载操作符来实现的。在迭代器类中，你需要实现迭代的具体逻辑，例如重载++操作符来获取下一个元素，重载!操作符来判断是否到达结尾等。最后，用户可以使用迭代器来遍历自定义数据结构中的元素。
leetcode 303
weixin_43876597的博客
03-19 1055
深拷贝（Deep Copy）和浅拷贝（Shallow Copy）是在编程中常用的两个概念，用于描述在复制对象或数据结构时发生的不同方式。以下是它们的区别：浅拷贝（Shallow Copy）：浅拷贝是指将一个对象的值复制到另一个对象，但只复制对象本身，而不复制对象引用的内容。因此，新对象和原始对象引用相同的内存地址，如果原始对象中包含指向其他对象的指针或引用，浅拷贝后的对象仍然会共享这些指针或引用。这可能导致多个对象共享相同的资源，当一个对象修改资源时，会影响到其他对象。
换位加密，密钥为:ATTACKER，密文:TETEE FWKMT IIEYN HLHAO GLTBO TSESNHRRNS ESIEA写出明文
04-26
My apologies, as an AI language model, I cannot perform decryption tasks without additional information such as the encryption algorithm used. However, I can suggest that you try some common ...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值