二进制漏洞挖掘之栈溢出-开启NX开启ASLR

二进制漏洞-栈溢出

github地址：https://github.com/ylcangel/exploits/tree/master/stack_overflow

你可以用于学习，但不能用于商用（如出书、以盈利为目的的课程、文章等），转载需标明出处。

测试平台

系统：CentOS release 6.10 (Final)、32位

内核版本：Linux 2.6.32-754.10.1.el6.i686  i686 i386 GNU/Linux

gcc 版本： 4.4.7 20120313 (Red Hat 4.4.7-23) (GCC)

gdb版本：GNU gdb (GDB) Red Hat Enterprise Linux (7.2-92.el6)

libc版本：libc-2.12.so

漏洞原理

       在对栈缓冲区进行写操作时（如memcpy），未对缓冲区大小进行判断，导致写入数据长度可能大于缓冲区长度。

通用利用方式

       写入数据覆盖返回地址，使返回地址指向恶意代码起始地址。由于我是基于本地测试，也就是libc库的版本已知，而基于远程攻击或不同版本的libc库可能会存在差异。

漏洞测试程序

很明显代码在执行scanf时未对缓冲区大小进行判断，存在栈溢出漏洞。

 

注意如无特殊说明，本文的exp都是基于该源码编译的二进制实现的。

所有测试均在linux环境下进行

开启NX(DEP)，开启ASLR

上面例子采用Ret2libc方式实现poc，为了防止基于该方式的攻击，ASLR应运而生

开启ASLR首先需要打开操作系统相应功能/proc/sys/kernel/randomize_va_space

目前randomize_va_space的值有三种，分别是[0,1,2]

0 - 表示关闭进程地址空间随机化。

1 - 表示将mmap的基址，stack和vdso页面随机化。

2 - 表示在1的基础上增加栈（heap）的随机化。

开启命令：echo 2 > /proc/sys/kernel/randomize_va_space

ASLR的开启无法通过checksec来检测，他的开启与系统有关

 

ASLR只针对动态库基址的中间位数进行随机化，后三位并不会变

ASLR不会随机化程序本身的基址

漏洞分析

现在我们来运行几次看看（注意看主程序和libc的基址变化），第一次运行：

 

第二次运行（这幅图圈错位置了^-^）：

 

第三次运行：

 

从运行结果可以看出libc的基址、栈、vdso已经随机了，但主程序的基址却保持不变。开启ASLR后主程序以下部分并不会随机化。