Shellcode注入

基础知识

  • Shellcode实际是一段代码,但却作为数据发送给受攻击服务器,将代码存储到对方的堆栈中,并将堆栈的返回地址利用缓冲区溢出,覆盖成为指向 shellcode的地址。

实践过程

  • shellcode的生成方法指导书上已经写得很详细了,在做实验时我直接用的是老师上课用的shellcode:
    20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

  • 将环境设置为:堆栈可执行、地址随机化关闭
    20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

  • 选择anything+retaddr+nops+shellcode的结构构造攻击buf,先猜测返回地址所在位置,并且找到shellcode所在地址
    20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

  • 在终端注入这段攻击buf:
    20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

  • 先不输入“回车”,在后面的调试过程中需要继续运行的时候再回车,此时再打开另外一个终端,用gdb来调试20145234pwn1这个进程,先找到该进程的进程ID,再打开gdb,用attach指令对该进程进行调试:
    20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

  • foo函数进行反汇编:
    20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

  • ret处设置断点,接着继续运行到断点处,显示当前esp的值并依照此位置显示接下来的内存地址内容,来分析我们之前猜测的返回地址位置是否正确以及shellcode的地址:

  • 20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP
  • 由上图可以推断出shellcode地址为:0xffffd384
  • 继续运行,可以确认返回地址是被我们之前输入的\x01\x02\x03\x04所覆盖的:
    20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

  • 将返回地址修改为0xffffd384,重新注入,可以发现已经成功了!
    20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

Return-to-libc攻击深入

基础知识

  • Return-into-libc攻击方式不具有同时写和执行的行为模式,因为其不需要注入新的恶意代码,取而代之的是重用漏洞程序中已有的函数完成攻击,让漏洞程序跳转到已有的代码序列(比如库函数的代码序列)。攻击者在实施攻击时仍然可以用恶意代码的地址(比如 libc 库中的 system()函数等)来覆盖程序函数调用的返回地址,并传递重新设定好的参数使其能够按攻击者的期望运行。这就是为什么攻击者会采用return-into-libc的方式,并使用程序提供的库函数。这种攻击方式在实现攻击的同时,也避开了数据执行保护策略中对攻击代码的注入和执行进行的防护。
  • 攻击者可以利用栈中的内容实施return-into-libc攻击。这是因为攻击者能够通过缓冲区溢出改写返回地址为一个库函数的地址,并且将此库函数执行时的参数也重新写入栈中。这样当函数调用时获取的是攻击者设定好的参数值,并且结束后返回时就会返回到库函数而不是 main()。而此库函数实际上就帮助攻击者执行了其恶意行为。更复杂的攻击还可以通过 return-into-libc的调用链(一系列库函数的连续调用)来完成。

实践过程

    • 添加用户:
    • 20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP
    • 转换用户,进入32位linux环境,将地址随机化关闭,并且把/bin/sh指向zsh
      20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

      20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

    • 将漏洞程序保存在/tmp目录下:
      20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

      20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

    • 编译该代码,使用–fno-stack-protector来关闭阻止缓冲区溢出的栈保护机制,并设置给该程序的所有者以suid权限,可以像root用户一样操作:

    • 20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

    • 创建读取环境变量的程序并编译:
      20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

      20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

    • 将攻击程序保存在/tmp目录下:

    • 20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

      20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

    • 用刚才的getenvaddr程序获得BIN_SH地址:
      20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

    • 利用gdb获得systemexit地址:
      20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

      20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

    • 将上述所找到的三个内存地址填写在20145234exploit.c中:
      20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

    • 删除刚才调试编译的20145234exploit程序和badfile文件,重新编译修改后的20145234exploit.c
      20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

    • 先运行攻击程序20145234exploit,再运行漏洞程序20145234retlib,攻击成功,获得了root权限:
      20145234黄斐《网络对抗技术》PC平台逆向破解-LMLPHP

05-11 18:20