20165309 《网络对抗技术》实验一：PC平台逆向破解
目录
一、实践目标
- 本次实践的对象是一个名为pwn1的linux可执行文件。该程序正常执行流程是：main调用foo函数,foo函数会简单回显任何用户输入的字符串。
- 该程序同时包含另一个代码片段，getShell，会返回一个可用Shell。正常情况下这个代码是不会被运行的。
- 我们实践的目标就是想办法运行这个代码片段，然后学习如何注入运行任何Shellcode。
二、基础知识
- 什么是漏洞？漏洞有什么危害？
- 我觉得漏洞就是攻击者进行未授权访问和破坏的“机会”，也是程序产生非预期行为的隐患。
- 漏洞会导致诸多安全问题，甚至会影响到软、硬件设备。被侵入后，我们的数据、隐私等会很容易被窃取、利用，所以，勤打补丁很重要。
- 掌握NOP, JNE, JE, JMP, CMP汇编指令的机器码
- 我们可以利用
objdump -d得到汇编代码，然后对应起来看汇编指令和机器码。（以下指令的机器码均在括号中标出） - NOP：“NULL”，一般用来控制CPU的时间周期，达到时钟延时的效果。（90）
- JNE：条件转移指令，如果不相等则跳转。（75）
- JE：条件转移指令，如果相等则跳转。（74）
- JMP：无条件转移指令可转到内存中任何程序段。段内直接短转Jmp short（EB）段内直接近转移Jmp near（E9）段内间接转移Jmp word（FF）段间直接远转移Jmp far（EA）。
- CMP：比较指令，CPU将目的操作数和源操作数做减法从而根据运算结果修改标志位的值，然后用相应的跳转指令来进行选择执行哪一段代码。
- 推荐一波参考资料：汇编指令和机器码的对应表、汇编指令机器码对应列表。
- 我们可以利用
- 反汇编
objdump -d: 将代码段反汇编。objdump -S: 将代码段反汇编的同时，将反汇编代码与源代码交替显示，编译时需要使用-g参数调试信息。objdump -l: 反汇编代码中插入文件名和行号。objdump -j section: 仅反汇编指定的section。objdump -t:输出目标文件的符号表。objdump -h:输出目标文件的所有段概括。objdump -x:以某种分类信息的形式把目标文件的数据组成输出，可查到该文件的的所有动态库。
- 十六进制编程器
- 在VIM里时我们可以通过如下方式使用：
:%!xxd：进入十六进制模式。:%!xxd -r：退出十六进制模式。
- 在VIM里时我们可以通过如下方式使用：
三、实验原理、内容及步骤
1.直接修改程序机器指令，改变程序执行流程
1.1实验原理
程序中的main函数会通过call指令调用foo这个函数，实验的这一环节就是要改其地址、换其函数、实现“想要”的功能（详见下述步骤）。
1.2内容及步骤
- 首先，来找一找共享文件夹的“pwn1”在哪儿：
- 然而，我们发现，它现在运行不了：
- 因为需要装个支持32位程序的库，这里参考了学长的博客，其中，用的更新源来自解决kali更新源时出现签名无效问题。
- 现在可行了，如图可见foo函数的功能：
- 用反汇编，看一看实验核心函数的部分，这里，我们重点关注main函数的
call指令这一行：call指令对应的e8，我们要做的就是把四字节的偏移量ff ff ff d7(小端序，补码)换成getShell函数对应的。 call指令在执行时，会EIP当前的值，也就是下一条指令的地址——0x080484ba压栈，然后修改寄存器EIP，将EIP指向foo函数的起始地址（因为EIP+偏移量= 0x080484ba + 0xffffffd7 = 0x08048491目的地址）。- 所以要修改的是
call指令的偏移量，由计算0x0804847d - 0x080484ba = 0xffffffc3，简而言之，要把d7换成c3了。在vim下修改：如下图指令进入十六进制模式，然后定位，换后回到二进制模式。 - 保存退出后，我们可以看到
call函数使程序跳转到了getShell函数。 - 运行后，我们实现出了shell~
2.通过构造输入参数，造成BOF攻击，改变程序执行流
2.1实验原理
- 通过观察上一环节的反汇编页面，可知foo函数中使用了gets函数，该函数不会检查用户输入的长度，通过“栈溢出”覆盖栈中保存的RET地址，可以改变程序的执行流。
- 我们这里要做的就是利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。
2.2内容及步骤
- 我们要确认一下字符串的缓冲区长度，进gdb调试，输入字符串如
1111111122222222333333334444444455555555，发生段错误产生溢出。（注意EIP的值，是ASCII 5） - 如果输入字符串
1111111122222222333333334444444412345678，那1234这四个数最终会覆盖到堆栈上的返回地址，进而CPU会尝试运行这个位置的代码。那只要把这四个字符替换为getShell的内存地址，输给pwn2，pwn2就会运行getShell。 - 这里的字节序是小端序，getShell的地址（0x0804847d）放在字符串中就是
\x7d\x84\x04\x08。 - 使用输出重定向“>”将perl生成的字符串存储到文件input中，再用16进制查看指令
xxd查看input文件的内容是否如预期，然后将input的输入通过管道符“|”作为pwn2的输入，再现shell功能： - PS.看到了不用perl语言的一种方式：
3.注入Shellcode并执行
3.1实验原理
- 植入代码的构造类型（NSR、RNS、AR），可学习缓冲区溢出攻击这篇报告。实验中用的是RNS类型。
- 在实际的应用中，凡是用来注入的机器指令段都通称为shellcode，像添加一个用户、运行一条指令，注入shellcode即返回地址为shellcode的起始地址。
3.2内容及步骤
- 安装execstack程序以便后续设置易于攻击的环境：
apt-get install execstack。 - 准备工作（搬运一下老师的实验指导）：
root@KaliYL:~# execstack -s pwn1 //设置堆栈可执行
root@KaliYL:~# execstack -q pwn1 //查询文件的堆栈是否可执行
X pwn1
root@KaliYL:~# more /proc/sys/kernel/randomize_va_space
2
root@KaliYL:~# echo "0" > /proc/sys/kernel/randomize_va_space //关闭地址随机化
root@KaliYL:~# more /proc/sys/kernel/randomize_va_space
0
- 构造RNS攻击结构：
<32字节任意数据> + <4字节 RET覆盖地址> + <NOP垫> + <shellcode>，最后一个字符千万不能是\x0a。 - 注入：
- 再开另外一个终端，用gdb来调试pwn3这个进程。
- 在gdb中连接进程，在foo函数的RET位置设置断点，在断点处暂停后，查看栈的情况：
- NOP垫的开始地址是
0xffffd34c，shellcode在其基础上加4字节，于是修改\x4\x3\x2\x1为\x50\xd3\xff\xff。攻击成功：
四、问题与解决
- 问题1：报错
bash： ./pwn1: 没有那个文件或目录 - 解决1：上述博客 三、1.2 中已详解。
- 注意2：十六进制下修改地址后要换回二进制再保存退出。
五、实验收获
我觉得这个实验在操作上是很容易的，我也算是切身领会了BOF攻击神奇的乐趣，但在理解方面我还需要下一些功夫，有些知识自己看的时候并不能弄清楚，上课听老师讲完才知道，自学成效堪忧...还有一点收获是：谨防入坑。