Exploit-Exercise之Protostar-stack

最新推荐文章于 2020-08-09 17:23:01 发布
最新推荐文章于 2020-08-09 17:23:01 发布
阅读量1.4k 收藏 1
点赞数
分类专栏： bin
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/yalecaltech/article/details/107476244
版权

0x00
Protostar涉及栈溢出、堆溢出、格式化字符串漏洞、网络编程、及综合性漏洞。
本文将介绍stack部分。

关于环境准备，在官网https://exploit-exercises.lains.space/protostar/下载即可。下载后得到iso镜像，使用vmware安装。然后使用user/user即可登录
查看ip
在这里插入图片描述

知道ip后可以在kali中ssh连上
在这里插入图片描述

输入user即可
机器上所有需要分析的程序都在如下路径
在这里插入图片描述

0x0
来看第一关stack0
源码如下
在这里插入图片描述

这题很简单，就是在if里判断modified变量是否被修改，而题目可以让我们合法输入的只有buffer的64字节，不过由于使用的是gets，可以通过溢出64字节的缓冲区，比如65字节，这样64个字节在buffer中，1个字节在modified中，只要其值不是0，就可以了。
测试如下
先输入64个字节，可以会try again,输入65字节，则成功修改了modified的初始值0
在这里插入图片描述

如果输入更多，可能还会溢出到其他空间如返回地址等，所以容易造成程序崩溃，比如输入200个
在这里插入图片描述

0x02
第二关stack1
源码如下
在这里插入图片描述

从源码中看出，这一关在上一关基础上，不仅要求modified被修改，而且明确了要修改为0x61626364。这一关虽然使用了strcpy,但是和gets一样，没有校验边界，所以还是可以造成溢出
可以先试试
在这里插入图片描述

输入64个a的时候是刚好把buffer填满了，输入65个a时，多出的1个a是填到了modified的空间中
这里注意到第65个a是第一个写到modified空间的（modified为int类型，共四字节）但是从打印的结果中看到这个a却是在最后的位置，这是由于该机器采用的小端序
所以既然从源码中看到它让我们把modified填为0x61626364，即abcd，所以我们在输入时的顺序应该是相反的，即dcba，即如下所示

在这里插入图片描述

0x03
第三关stack2，源码如下
在这里插入图片描述

这是在stack1上改进的。主要有两点区别。
第一点，这次的strcpy是将variable复制到buffer，而上一关是argv[1]复制到buffer。而variable来自环境变量。第二点，这里要求将modified修改为0x0d0a0d0a，而0x0d是回车符,0x0a是换行符，我们没办法像针对0x61一样直接输入a就可以。
第一个问题，我们手动设置环境变量就可以；第二个问题的话，对于python而言，如果我们输入为\x0d这种格式的话输出也自然为相应的16进制
所以如下就可以解决该问题
在这里插入图片描述

0x04
第四关stack3,源码如下
在这里插入图片描述

这里的话，要求我们控制程序执行流，能够调用win函数，很明显这就要求我们覆写eip指针。
首先借助objdump找到win函数在内存中的地址
在这里插入图片描述

这里的-x选项是让objdump列出所有函数的地址，配合grep，只列出win函数的地址
这里可以看到地址为0x08048424
接下来我们就需要用fp指向该地址即可，由于小端序的原因，所以如下所示
在这里插入图片描述

0x05
第五关stack4，源码如下
在这里插入图片描述

这一次没有任何变量可以让我们覆写去调用win函数，那么我们这次要想调用win函数的话，就需要覆写main函数的返回地址，eip。这个地址存在栈帧的最开始的地方，接下来就需要知道溢出buffer多少字节才能覆写eip。
这就需要一次次尝试
在这里插入图片描述

在传入76字节的时候报错了，可知76字节之后的区域就是用于覆写eip的
接下来还是同样的方法找到win函数的地址
在这里插入图片描述

最终答案如下
在这里插入图片描述

这里报错的原因是因为原返回地址被我们覆写了，导致程序不能正常退出。

0x06
第6关，stack5，源码如下
在这里插入图片描述

这次要求我们直接拿到shell，直接用现成的shellcode：https://www.exploit-db.com/exploits/13357，作用相当于execve /bin/sh
基本的布局还是和之前的一样，还是需要76字节+4字节，这4字节是要覆写eip的内容
先gdb载入
在这里插入图片描述

可见，buffer从esp+0x10开始
先确定是否能控制eip，gdb调试，输入76个a，4个b
在这里插入图片描述

查看寄存器
在这里插入图片描述

可以看到确实可以控制
这里有一个问题，就是我们不知道esp+0x10的确切地址，直接使用gdb给出的地址是不准确的
从之前的汇编中我们看到，在执行过程中，我们要跳转的内存地址实际被载入了eax寄存器中，所以如果我们可以定位到jmp eax指令的位置，我们就可以将eip指向该位置以执行我们的shellcode
找这种gadget很简单，由于protyostar近乎裸机，我们用python开个简单的http服务，然后将stack5下到kali上
在这里插入图片描述

在kali中如下操作
在这里插入图片描述

下载到kali后，使用msfelfscan来找gadget
在这里插入图片描述

我们将BBBB的替换为0x080483bf，当然这里要注意小端格式。
在这里插入图片描述

shellcode不足76字节，所以需要补上一些字节，这里用A补上
然后进行测试
在这里插入图片描述

发现报错
我们将其写到tmp目录下某个文件中
在这里插入图片描述

然后是使用gdb调试
在这里插入图片描述

接下来看看报错原因
经过调试可知是由于shllcode中的push导致在栈空间中写入了其他内容
为此，我们可以使用add $0x10, $esp再开辟一些空间，其对应的机器码为\x83\xc4\x10，所以相应地，payload中的A少填充3个。如下所示
在这里插入图片描述

0x07
第7关，stack6
源码如下
在这里插入图片描述

这里多了一个限制，在上图中可以看到这里将返回地址进行了校验，相比于上一关又增加了难度
gdb载入后反汇编getpath函数
在这里插入图片描述

0x080484aa处的gets用于接收我们的输入
0x080484b8到0x080484c2的指令就是用于校验返回地址
如果不等，则跳到0x084884e4，走到0x080484f3，打印出got path…
如果相等则继续走到0x080484d3，打印出bzzzt…
这里来看看这个与的操作
假设跳到一个地址0xbfffff01
相与之后：
在这里插入图片描述

可以看到只要地址以bf开始，经过与操作后，都会与0xbf000000相等，继而就会打印出bzzzt…
这就是这道题目给的限制
也就是说无法使用在栈的地址（因为都是以0xbf开头）针对这道题目，我们这里使用ret2libc技术（后面可以看到是以0xb7开头）
首先要找到偏移
在这里插入图片描述

将python脚本生成的偏移写到/tmp/exp
在这里插入图片描述

然后在gdb中调试
在这里插入图片描述

0x45,44分别是E和D
所以可知偏移总共为70+”BBBBCCCCDD”=80
这样就能控制eip了
接下来要找到libc地址
gdb查看内存分布
在这里插入图片描述

找到system系统调用地址
在这里插入图片描述

再找到字符串/bin/sh的地址
在这里插入图片描述

这里的-a是扫描整个文件，-t x是打印出16进制形式的偏移
所以/bin/sh地址为0xb7e97000 + 0x11f3bf
所以exp如下
在这里插入图片描述

运行后就拿到了shell
在这里插入图片描述

0x08
第八关stack7，源码如下
在这里插入图片描述

和stack6类似，这次是限制我们使用0xb开始的地址作为返回地址，也就是说ret2libc的方法也失效了。
如下所示
在这里插入图片描述

这次我们绕过的方法是ret2.text
既然我们不能跳到栈上和libc地址上，那么这次我们跳到程序的.text段上，此处放着程序的汇编代码，并且利用特殊的gadget实现目的
首先还是要确定偏移以控制eip，这一步和stack6一样，偏移还是为80字节。
接下来就是找gadget，还是同样的办法，先把程序传输到kali上
在protostar上 ：
在这里插入图片描述

在kali上
在这里插入图片描述

使用msfelfscan找gadget
在这里插入图片描述

使用哪一条都可以，本质上都是一样的，即pop,pop,ret
所以现在我们知道了
padding为A*80
EIP为0x080485c7
POP随意
POP随意
RET=我们希望返回的地址
这里还是与stack6一样，用system调用/bin/sh，相关的地址还是同样的做法就可以找到，这里不再重复，源码如下
在这里插入图片描述

测试如下
Exploit-Exercise之Protostar-stack

0x09
参考：
1.https://exploit-exercises.lains.space/protostar/
2.https://medium.com/bugbounty/
3.https://medium.com/@airman604/
4.https://medium.com/@coturnix97/exploit-exercises-protostar/

Elwood Ying
关注
专栏目录
Linux提权工具（linux-exploit-suggester、优）
墨痕诉清风的博客
04-22 748
【代码】Linux提权工具（linux-exploit-suggester.git、优）
Exploit-Exercises-Protostar:漏洞利用解决方案 Protostar
07-07
开发-练习-Protostar 漏洞利用解决方案 Protostar
protostar_stack1
weixin_30907523的博客
07-06 137
Protostar是little endian的。 这里面，我们要让修改的modified变量结果正好等于0x61626364。 我们用objdump -S stack1 > ~/stack1dump命令来把stack1的信息输入到这个文件中，再查看这个文件，找到main的入口： 当调用strcpy之前，栈中的情况大致是这样的： 所以bu...
Exploit Exercises - Protostar Stack
u011500307的专栏
03-18 2737
这个网站是http://exploit-exercises.com/protostar。 Stack 0: #include #include #include int main(int argc, char **argv) { volatile int modified; char buffer[64]; modified = 0; gets(
exploit-exercises Protostar Stack Walkthrough
Casuall的博客
08-03 1072
做了一组关于栈溢出的练习，题目来源exploit-exercises，提供一个虚拟机镜像，可以下载下来自己耍耍。 StackStack0AboutSource codeEXPStack1AboutSource codeEXPStack2AboutSource codeEXPStack3AboutSource codeEXPStack4AboutSource codeEXPStack5AboutSource codeStack6AboutSource codeStack7AboutSource codeexp
Stack Buffer Overflow-protostar-stack0/stack1/stack2-0x04
qq_25899635的博客
06-26 369
使用的protostar虚拟机镜像，源站点暂时不能访问，可自行google。 缓冲区溢出的第一关，protostar Stack0 About: 　　这个级别介绍了可以在程序分配内存区域之外访问内存的概念,如何布局堆栈变量，以及在分配内存之外修改某些程序执行。 Source code: #include <stdlib.h> #include <unistd.h> #inc...
JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar
05-27
$ java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar [-C] [command] [-A] [address] where: -C - command executed in the remote classfile. (optional , default command is "open /Applications/...
JNDI-Injection-Exploit-1.0-SNAPSHOT-all
04-30
该压缩包"JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar"可能包含了一个JNDI注入攻击的示例或者测试工具，"SNAPSHOT"通常表示这是一个开发中的版本，可能尚未经过完整测试，因此可能存在漏洞或不稳定性。使用这样的...
JNDI-Injection-Exploit-1.0-SNAPSHOT-all.zip
12-12
标题"JNDI-Injection-Exploit-1.0-SNAPSHOT-all.zip"暗示了这是一个关于JNDI注入漏洞的exploit工具包，版本为1.0 SNAPSHOT，可能包含了多个利用示例或攻击代码。"all"可能表示该压缩包包含了所有相关的组件或测试...
https://www.exploit-db.com/下载POC比较完善的代码
12-21
CVE（Common Vulnerabilities and Exposures）是用于识别安全漏洞的唯一标识，通常与安全补丁或exploit（利用）相关联。下面将详细讨论这些知识点： 1. **自动化下载**： - 通过CVE编号自动化下载代码是一种常见的...
Exploit-Exercise之Protostar-heap
Yale的博客
07-20 753
0x00 Protostar涉及栈溢出、堆溢出、格式化字符串漏洞、网络编程、及综合性漏洞。 本文将介绍heap部分。 关于环境准备，在官网https://exploit-exercises.lains.space/protostar/下载即可。下载后得到iso镜像，使用vmware安装。然后使用user/user即可登录 查看ip 知道ip后可以在kali中ssh连上 输入user即可 机器上所有需要分析的程序都在如下路径 0x01 第一关heap0 这里可以看到存在缓冲区溢出的地方在d->n
传统栈溢出-(Exploit-exercise-protostar-stack5)
MillionSky的专栏
04-11 810
1 概述传统栈溢出有这些特点：没有ASLR没有NX 题目来自https://exploit-exercises.com/protostar/stack5/ 本来觉得很简单的，还是纠结了半天。Exploit-exercise-protostar-stack5的第一个坑就是setuid程序的core dump没有打开。需要这样操作：su - root #password:godmodeecho 1 &...
exploit-exercises Protostar Heap Walkthrough
Casuall的博客
08-09 853
HeapProtostar Heap0AboutSource codeProtostar heap1AboutSource codeexpProtostar heap2AboutSource codeProtostar Heap3AboutSource codeexp 题目来源exploit-exercises Protostar Heap0 About This level introduces heap overflows and how they can influence code flow. Th
exploit-exercises-protostar
weixin_30292745的博客
05-12 2331
转载学习于 http://www.programlife.net/exploit-exercises-protostar-writeup-1.html stack0 ```````````````````````````````````````````````````````````````````````````````````````````````` 1#include...
简单ROP exploit入门之protostar stack7
无心插柳
09-24 7001
通过protostar stack7来入门最简单的ROP exploit
Protostar Stack Write Up
无节操
11-08 1663
Protostar Stack0 #include #include #include int main(int argc, char **argv) { volatile int modified; char buffer[64]; modified = 0; gets(buffer); if(modified != 0) { printf("you
Exploit-Exercise之Protostar-format
Yale的博客
07-20 372
0x00 Protostar涉及栈溢出、堆溢出、格式化字符串漏洞、网络编程、及综合性漏洞。 本文将介绍format部分。 关于环境准备，在官网https://exploit-exercises.lains.space/protostar/下载即可。下载后得到iso镜像，使用vmware安装。然后使用user/user即可登录 查看ip 知道ip后可以在kali中ssh连上 输入user即可 机器上所有需要分析的程序都在如下路径 0x01 第一关，fotmat0 我们的目标是控制target为0xde
protostar_stack6
weixin_30443813的博客
07-21 153
这段程序程序要求调用getpath函数但是 调用者的地址不能以0xbf开头！ ret表示返回地址。 __builtin_return_address(0)的含义是，得到当前函数返回地址，即此函数被别的函数调用，然后此函数执行完毕后，返回，所谓返回地址就是那时候的地址。 这个函数是gcc在linux下的特性，建议看这个文章，讲述的异常清晰： http://www.ibm.com/dev...
protostar_stack7
weixin_30802171的博客
07-22 117
这一次的代码如上所示 ---- 这一次和之前的不同在于： 1. 有返回值，是strdup(buffer) 函数的返回值～ 2. 0xbf 变为 0xb0了～ strdup函数的返回值是新申请的内存的地址，4字节，应该存放在eax上。 接下来，返回的时候，会执行返回地址所指向的语句，这个语句的位置不能是0b开头的，不能是栈里的东西， 同时，也不能是libc里的函数，它们...
linux-exploit-suggester2
最新发布
07-28
针对 Linux 系统的漏洞利用建议工具有很多，其中一个常用的工具是 Linux-exploit-suggester 2。它是一个能够检测 Linux 系统中已知漏洞的脚本，以帮助系统管理员评估系统安全性并提供潜在的漏洞利用建议。 该工具...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值