20145312 《网络对抗》 逆向及Bof基础实践
1 逆向及Bof基础实践说明
1.1 实践目标
- 本次实践的对象是一个名为pwn1的linux可执行文件。
- 该程序正常执行流程是：main调用foo函数,foo函数会简单回显任何用户输入的字符串。该程序同时包含另一个代码片段，getShell，会返回一个可用Shell。
- 实践的目标就是想办法运行这个代码片段。我们将学习两种方法运行这个代码片段，然后学习如何注入运行任何Shellcode。
三个实践内容如下：
- 手工修改可执行文件，改变程序执行流程，直接跳转到getShell函数。
- 利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。
- 注入一个自己制作的shellcode并运行这段shellcode。
2 直接修改程序机器指令，改变程序执行流程
-
知识要求：Call指令，EIP寄存器,指令跳转的偏移计算，补码，反汇编指令objdump，十六进制编辑工具
-
学习目标：理解可执行文件与机器指令
-
进阶：掌握ELF文件格式，掌握动态技术
-
下面就修改可执行文件，将其中的call指令的目标地址由d7ffffff变为c3ffffff。
-
再反汇编看一下，call指令是否正确调用getShell
3 通过构造输入参数，造成BOF攻击，改变程序执行流
- 知识要求：堆栈结构，返回地址
- 学习目标：理解攻击缓冲区的结果，掌握返回地址的获取
- 进阶：掌握ELF文件格式，掌握动态技术
3.1 反汇编，了解程序的基本功能
-
触发函数getShell
-
该可执行文件正常运行是调用如下函数foo，这个函数有Buffer overflow漏洞
-
这里读入字符串，但系统只预留了28字节的缓冲区，超出部分会造成溢出，目标是覆盖返回地址
-
上面的call调用foo,同时在堆栈上压上返回地址值
3.2 确认输入字符串哪几个字符会覆盖到返回地址
-
通过对foo函数进行分析，可以发现系统只预留了一定字节的缓冲区，超出部分会造成溢出，因此这个函数存在BOF漏洞，而我们的目标就是覆盖它的返回地址。
进过尝试发现，当输入达到28字节时产生溢出Segmentation fault
-
如果输入字符串1111111122222222333333334444444412345678，那 1234 那四个数最终会覆盖到堆栈上的返回地址，进而CPU会尝试运行这个位置的代码。那只要把这四个字符替换为 getShell 的内存地址，输给pwn20145312yx，pwn20145312yx就会运行getShell。
3.3 确认用什么值来覆盖返回地址
-
getShell的内存地址，在未启用ALSR的主机上是固定不变的，通过反汇编时可以看到，即0804847d。
-
接下来要确认下字节序
3.4 构造输入字符串
- 由为没法通过键盘输入x7dx84x04x08这样的16进制值，所以先生成包括这样字符串的一个文件。x0a表示回车，如果没有的话，在程序运行时就需要手工按一下回车键。
- 关于Perl：Perl是一门解释型语言，不需要预编译，可以在命令行上直接使用。使用输出重定向“>”将perl生成的字符串存储到文件input中。
- 观看eip的值，是ASCII 1234，也就是说我们输入的“1234”覆盖了它的地址，所以我们只需要将getshell的内存地址替换这4个字符，就可以达到程序向getshell函数转移的目的。
- 我们要构造一串特殊的输入，由于getShell的内存地址是0x0804847d，而其对应的ASCII没有字符，所以我们通过一个简单的perl脚本语言来构造输入值，输入：
- 可以使用16进制查看指令xxd查看input文件的内容是否如预期。
- 然后将input的输入，通过管道符“|”，作为pwn20145312yx的输入。
