搜索

[11276] 2017-04-25_Pwnable.tw刷题之calc

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-04-25_Pwnable.tw刷题之calc P w n a b l e . t w 刷 题 之 c a l c o O 0 p s   F r e e B u f   2 0 1 7 - 0 4 - 2 5 * 原 创 作 者 ： o O 0 p s ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 受 到 基 友 的 耳 濡 目 染 ， 最 近 开 始 入 坑 C T F 。 接 受 他 的 建 议 ， 先 在 p w n a b l e . k r 和 p w n a b l e . t w 两 个 平 台 上 玩 玩 题 。 其 中 p w n a b l e . k r 建 立 较 早 ， 上 面 的 题 目 难 度 从 易 到 难 ， 相 邻 题 目 的 难 度 跃 动 不 大 ， 但 是 涉 及 知 识 面 较 广 ， 网 上 的 w r i t e u p 也 非 常 多 ， 非 常 适 合 新 手 练 习 ； p w n a b l e . t w 建 立 较 晚 ， 题 目 难 度 相 对 于 前 者 较 大 ， 适 合 进 阶 。           我 是 两 个 平 台 交 替 着 来 ， 这 个 玩 不 下 去 了 就 换 另 一 个 。 前 几 天 做 到 了 p w n a b l e . t w 的 第 三 题 ， 着 实 让 我 这 个 刚 入 坑 的 菜 鸡 绞 尽 脑 汁 。 此 题 的 漏 洞 比 较 有 意 思 ， 难 度 对 于 刚 入 坑 的 新 手 小 白 来 说 也 可 以 接 受 ， 在 此 分 享 我 的 解 题 思 路 。 0 0   题 目 解 析 题 目 解 析 题 目 如 下 图 所 示 ： 由 题 目 可 知 ， 这 是 一 道 关 于 计 算 器 的 题 目 。 p w n a b l e . t w 上 每 题 的 f l a g 文 件 都 在 / h o m e / x x x / f l a g ， 其 中 x x x 是 题 目 的 名 字 。 我 们 先 用 题 中 所 给 的 命 令 连 接 一 下 目 标 服 务 器 ： 在 出 现 欢 迎 信 息 后 ， 我 输 入 了 8 * 9 ， 目 标 程 序 就 返 回 了 计 算 结 果 7 2 。 可 见 ， 这 个 目 标 程 序 确 实 具 备 计 算 功 能 。 我 们 的 目 的 是 获 取 服 务 器 上 f l a g 文 件 的 内 容 ， 看 来 只 能 通 过 挖 掘 目 标 程 序 的 弱 点 或 漏 洞 来 想 办 法 显 示 f l a g 。 点 击 黄 色 的 c a l c ， 便 可 将 目 标 程 序 下 载 到 本 地 。 接 下 来 ， 我 们 要 对 目 标 程 序 进 行 分 析 ， 看 看 是 否 存 在 漏 洞 可 以 在 服 务 器 上 显 示 出 f l a g 文 件 的 内 容 。 0 1   算 法 分 析 算 法 分 析 ▌ 主 函 数 分 析 主 函 数 分 析 首 先 对 程 序 进 行 静 态 分 析 。 将 程 序 丢 到 I D A 中 ， 发 现 主 函 数 流 程 较 简 单 ， 一 个 定 时 器 ， 一 个 欢 迎 信 息 的 输 出 ， 以 及 一 个 c a l c 函 数 。
这 个 c a l c 应 该 就 是 程 序 的 核 心 函 数 了 。 主 函 数 汇 编 代 码 如 下 图 所 示 ： ▌ c a l c   函 数 分 析 函 数 分 析 我 们 进 入 c a l c 函 数 ， 重 点 分 析 该 函 数 执 行 流 程 。 函 数 一 开 始 就 将 c a n a r y 压 入 栈 内 ， 作 为 对 栈 溢 出 攻 击 的 第 一 层 保 护 （ 下 图 中 l a r g e g s : 1 4 h 就 是 c a n a r y 的 值 ， 被 压 入 栈 中 e b p - 0 x c 的 位 置 ） 。 c a n a r y （ 金 丝 雀 ） 是 一 种 简 单 高 效 的 保 护 栈 内 数 据 不 被 改 写 的 方 式 ， 该 方 法 就 是 在 栈 的 尾 部 插 入 一 个 随 机 值 （ 因 为 函 数 返 回 地 址 常 在 当 前 栈 的 尾 部 ） ， 当 函 数 返 回 之 时 检 测 c a n a r y 的 值 是 否 经 过 了 改 变 ， 以 此 来 判 断 栈 溢 出 攻 击 是 否 发 生 。 然 而 对 于 本 题 存 在 的 漏 洞 来 说 ， 这 种 方 式 还 不 足 以 保 护 函 数 的 返 回 地 址 被 攻 击 者 篡 改 ， 原 因 在 下 文 我 会 介 绍 到 。 压 入 c a n a r y 过 程 如 下 图 所 示 ： 接 下 来 c a l c 函 数 调 用 _ b z e r o 将 一 段 长 度 为 1 0 2 4 字 节 的 数 据 e x p r 清 0 ， 并 调 用 g e t _ e x p r 函 数 接 收 用 户 输 入 的 运 算 表 达 式 ， 若 表 达 式 格 式 合 法 ， 则 将 其 放 到 e x p r 中 去 。 也 就 是 说 ， e x p r 即 为 运 算 表 达 式 所 在 字 符 串 。 如 下 图 所 示 ： 其 中 g e t _ e x p r 函 数 过 滤 了 非 法 字 符 ， 只 留 下 数 字 和 “ + ， - ， × ， / ， % ” 这 五 个 运 算 符 。 该 函 数 的 具 体 流 程 在 这 里 就 不 赘 述 了 ， 感 兴 趣 的 朋 友 请 自 行 分 析 。 接 下 来 ， i n i t _ p o o l 函 数 的 流 程 比 较 简 单 ， 它 在 当 前 栈 上 分 配 了 一 段 1 0 0 个 字 （ 4 0 0 字 节 ） 的 空 间 ， 将 其 内 容 清 0 。 那 这 段 空 间 具 体 是 做 什 么 的 ？ 那 这 段 空 间 具 体 是 做 什 么 的 ？
我 们 在 下 文 将 会 介 绍 ， 请 大 家 记 住 它 ， 因 为 它 将 是 我 们 漏 洞 溢 出 的 关 键 。 万 事 俱 备 ， 只 欠 东 风 。 该 输 入 的 输 入 的 ， 该 分 配 的 分 配 了 ， 那 谁 来 解 释 并 处 理 我 们 输 入 的 运 算 表 达 式 呢 ？ 这 个 核 心 的 工 作 就 交 由 p a r s e _ e x p r 函 数 来 处 理 。 i n i t _ p o o l 和 p a r s e _ e x p r 的 调 用 如 下 ： 用 I D A 的 F 5 功 能 可 以 更 直 观 地 看 出 c a l c 函 数 的 调 用 过 程 ： ▌ p a r s e _ e x p r   函 数 分 析 函 数 分 析 该 函 数 主 要 分 为 两 个 步 骤 ： 解 析 运 算 表 达 式 、 计 算 运 算 结 果 。 下 面 我 们 来 逐 步 分 析 一 下 p a r s e _ e x p r 函 数 。 该 函 数 共 有 两 个 参 数 ， 参 数 一 为 用 户 输 入 的 运 算 表 达 式 的 地 址 ， 参 数 二 为 上 文 提 到 的 i n i t _ p o o l 函 数 分 配 的 一 段 地 址 空 间 。 函 数 开 始 时 同 样 使 用 了 c a n a r y 的 方 式 保 护 栈 空 间 ， 之 后 又 分 配 了 1 0 0 字 节 的 空 间 给 一 个 数 组 o p e r a t o r [ 1 0 0 ] ， 这 个 数 组 的 作 用 是 保 存 所 有 的 操 作 符 。 那 么 函 数 究 竟 如 何 处 理 用 户 输 入 的 运 算 表 达 式 呢 ？ 那 么 函 数 究 竟 如 何 处 理 用 户 输 入 的 运 算 表 达 式 呢 ？ 大 家 可 以 先 自 己 思 考 一 下 ， 如 果 让 我 们 自 己 写 一 个 计 算 器 ， 大 概 的 流 程 应 该 是 什 么 ？ 首 先 ， 我 们 肯 定 需 要 将 操 作 数 和 运 算 符 分 离 开 ， 然 后 再 通 过 运 算 符 来 对 运 算 符 两 边 的 操 作 数 进 行 相 应 的 计 算 。 但 是 ， 计 算 机 不 像 人 一 样 ， 当 看 到 “ 1 0 0 ” 就 能 马 上 识 别 出 来 这 是 数 1 2 3 ， 而 是 首 先 把 它 当 作 字 符 串 处 理 ， 一 个 字 符 一 个 字 符 地 读 取 ， 先 读 取 “ 1 ” ， 再 读 取 “ 2 ” ， 再 读 取 “ 3 ” ， 直 到 读 取 到 一 个 不 是 数 字 的 字 符 ， 才 把 字 符 串 “ 1 2 3 ” 当 成 数 1 2 3 。 这 个 函 数 的 流 程 也 是 如 此 。 如 下 图 所 示 ， 首 先 ， 函 数 进 入 一 个 大 循 环 ， 来 对 运 算 表 达 式 的 每 个 字 符 进 行 分 析 和 处 理 。 若 当 前 字 符 的 a s c i i 码 值 减 去 4 8 （ 数 字 0 的 a s c i i 码 值 ） 大 于 9 ， 则 将 其 识 别 为 运 算 符 ； 若 小 于 或 等 于 9 ， 则 将 当 前 字 符 当 作 数 字 处 理 （ 数 字 0 ~ 9 的 a s c i i 码 值 为 4 8 ~ 5 7 ） 。 疑 问
a s c i i 码 小 于 4 8 的 字 符 可 不 止 运 算 符 ， 大 于 4 8 的 字 符 也 不 止 数 字 啊 ， 难 道 可 以 任 意 输 入 吗 ？ 大 家 还 记 得 上 文 中 提 到 的 g e t _ e x p r 函 数 吗 ， 就 是 它 在 用 户 输 入 的 时 候 将 不 合 法 的 字 符 全 都 过 滤 掉 了 ， 因 此 这 时 不 会 有 其 它 非 法 的 字 符 存 在 。 我 查 了 a s c i i 码 表 ， “ + ， - ， × ， / ， % ” 几 个 运 算 符 的 a s c i i 码 值 都 比 4 8 小 啊 ， 减 去 4 8 是 负 数 ， 肯 定 也 小 于 9 啊 ， 为 什 么 会 大 于 9 ？ 因 为 这 时 定 义 的 差 值 变 量 是 无 符 号 整 型 （ u n s i g n e d     i n t ） 的 ， 作 为 一 个 无 符 号 的 数 ， 它 的 值 将 远 远 大 于 9 。 如 果 当 前 字 符 为 数 字 ， 那 么 循 环 中 什 么 也 不 做 ， 只 把 s e q + 1 ， 进 入 下 一 个 循 环 。 如 果 当 前 字 符 为 运 算 符 ， 函 数 要 做 的 第 一 件 事 情 并 不 是 解 析 运 算 符 ， 而 是 将 运 算 符 前 面 的 字 符 串 转 化 为 整 数 保 存 起 来 。 保 存 在 哪 里 呢 ？ 保 存 在 哪 里 呢 ？ 就 保 存 在 传 入 p a r s e _ e x p r 函 数 的 参 数 i n i t p o o l 里 面 。 由 上 图 我 们 可 以 看 出 ， 函 数 首 先 取 操 作 数 左 边 的 字 符 串 ， 若 字 符 串 为 “ 0 ” ， 也 就 是 说 ， 用 户 输 入 的 操 作 数 为 0 ， 那 么 报 错 并 直 接 退 出 当 前 运 算 过 程 。 这 是 该 题 的 一 个 小 b u g ， 因 为 从 数 学 上 来 说 ， 0 除 了 作 为 除 数 ， 还 是 可 以 参 与 运 算 的 。 但 是 毕 竟 这 只 是 一 道 p w n 题 ， 因 此 我 们 就 忽 略 了 这 个 小 b u g 吧 。 接 下 来 ， 函 数 将 操 作 符 左 边 的 操 作 数 转 换 为 i n t 型 数 值 ， 并 将 数 值 保 存 在 i n i t p o o l 中 。 但 是 在 这 里 我 们 要 注 意 一 个 问 题 ， 从 函 数 逻 辑 来 看 ， 操 作 数 是 从 i n i t p o o l [ 1 ] 的 位 置 开 始 保 存 的 。 那 么 那 么 i n i t p o o l [ 0 ] 是 干 什 么 用 的 呢 ？ 是 干 什 么 用 的 呢 ？ 从 c o u n t = ( * i n i t p o o l ) + + 这 一 条 语 句 来 看 ， i n i t p o o l [ 0 ] 应 该 是 保 存 当 前 运 算 数 个 数 的 。 它 相 当 于 一 个 指 针 ， 每 次 函 数 要 保 存 操 作 数 进 去 的 时 候 ， 先 判 断 i n i t p o o l [ 0 ] 当 前 的 值 是 多 少 ， 若 值 为 0 （ 第 一 次 保 存 操 作 数 时 ） ， 那 么 就 将 当 前 操 作 数 保 存 在 i n i t p o o l [ 0 + 1 ] 的 位 置 上 ， 若 值 为 5 （ 当 前 已 经 保 存 了 5 个 操 作 数 ， 类 似 1 + 2 + 3 + 4 + 5 这 种 情 况 ） ， 就 将 当 前 操 作 数 保 存 在 i n i t p o o l [ 6 ] 的 位 置 上 。 也 就 是 说 ， i n i t p o o l 可 以 理 解 为 一 个 带 头 部 的 数 组 ， 其 头 部 （ i n i t p o o l [ 0 ] ） 保 存 着 当 前 数 组 中 操 作 数 的 个 数 ， 而 从 i n i t p o o l [ 1 ] 往 后 依 次 保 存 着 各 个 操 作 数 。 由 此 可 见 ， 这 个 程 序 两 个 最 重 要 的 数 据 结 构 为 i n i t p o o l [ ] 和 o p e r a t o r [ ] ， 它 们 分 别 保 存 了 操 作 数 和 操 作 符 。
接 下 来 为 了 保 证 输 入 表 达 式 的 正 确 ， 函 数 对 当 前 操 作 符 的 后 一 个 字 符 进 行 了 判 断 ， 若 后 一 个 字 符 也 是 操 作 符 （ 类 似 5 + × 7 这 种 情 况 ） ， 则 视 当 前 表 达 式 非 法 ， 退 出 此 次 运 算 。 下 面 就 进 入 到 p a r s e _ e x p r 函 数 的 关 键 部 分 ： 如 图 。 首 先 判 断 o p e r a t o r 数 组 中 o p e r a t o r [ s e q o p r ] 这 个 元 素 的 值 是 否 为 0 。 o p e r a t o r 数 组 保 存 了 所 有 的 操 作 符 ， 而 o p e r a t o r [ s e q o p r ] 则 保 存 了 当 前 所 解 析 操 作 符 的 上 一 个 操 作 符 。 比 如 “ 7 + 9 - 5 ” 这 样 一 个 运 算 表 达 式 ， 当 我 们 处 理 到 “ - ” 时 ， o p e r a t o r [ s e q o p r ] 保 存 的 就 是 “ + ” 。 若 o p e r a t o r [ s e q o p r ] 为 空 ， 也 就 是 说 ， 当 前 处 理 的 操 作 符 为 表 达 式 的 第 一 个 操 作 符 ， 那 么 函 数 就 进 入 e l s e ， 将 当 前 操 作 符 保 存 在 o p e r a t o r [ s e q o p r ] ， 也 就 是 o p e r a t o r [ 0 ] 。 若 当 前 操 作 符 不 是 表 达 式 的 第 一 个 操 作 符 ， 那 么 就 进 入 i f 条 件 。 该 i f 条 件 的 作 用 ， 就 是 保 存 当 前 操 作 符 至 o p e r a t o r 数 组 中 ， 并 进 行 之 前 操 作 符 所 对 应 的 那 部 分 运 算 。 这 里 可 能 比 较 难 理 解 ， 举 个 例 子 ， 比 如 表 达 式 ： 1 + 3 - 2 当 处 理 运 算 符 “ + ” 时 ， 由 于 这 是 该 表 达 式 的 第 一 个 运 算 符 ， 函 数 只 是 将 其 左 值 “ 1 ” 保 存 至 i n i t p o o l [ 1 ] ， 并 将 “ + ” 保 存 至 o p e r a t o r [ 0 ] ， 然 后 继 续 循 环 。 当 处 理 到 运 算 符 “ - ” 时 ， i n i t p o o l 中 已 经 有 两 个 值 ， “ 1 ” 和 “ 3 ” ， o p e r a t o r 中 也 保 存 了 一 个 值 “ + ” ， 也 就 是 说 ， 此 时 运 算 场 景 为 ： i n i t p o o l [ 0 ] = 2 , i n i t p o o l [ 1 ] = 1 , i n i t p o o l [ 2 ] = 3 o p e r a t o r [ 0 ] = " + " 它 的 含 义 是 ： 两 个 操 作 数 1 和 3 进 行 加 法 运 算 。 这 时 函 数 会 首 先 对 ” 1 + 3 ” 这 部 分 进 行 运 算 ， 然 后 将 “ - ” 运 算 符 放 在 o p e r a t o r [ 1 ] 中 ， 等 待 着 下 一 次 运 算 。 下 一 次 运 算 什 么 时 候 开 始 呢 ？ 下 一 次 运 算 什 么 时 候 开 始 呢 ？
别 忘 了 表 达 式 可 是 一 个 字 符 串 ， 它 的 结 尾 是 一 个 “ 0 × 0 ” ， 当 循 环 处 理 到 “ 0 × 0 ” 的 时 候 ， 就 开 始 了 “ - ” 这 部 分 的 运 算 。 那 么 就 有 同 学 可 能 会 问 ， “ 1 + 3 ” 的 结 果 保 存 在 哪 儿 呢 ？ 答 案 在 e v a l 函 数 中 ： e v a l 函 数 将 计 算 “ 1 + 3 ” 的 结 果 ， 并 将 结 果 “ 4 ” 保 存 在 之 前 数 值 ” 1 ” 所 在 的 位 置 ， 也 就 是 i n i t p o o l [ i n i t p o o l [ 0 ] - 1 ] = i n i t p o o l [ 1 ] 中 。 这 样 一 来 ， 当 p a r s e _ e x p r 函 数 处 理 到 最 后 一 个 字 符 “ 0 × 0 ” 的 时 候 ， 当 前 运 算 场 景 如 下 ： i n i t p o o l [ 0 ] = 2 , i n i t p o o l [ 1 ] = 4 , i n i t p o o l [ 2 ] = 2 o p e r a t o r [ 0 ] = " + " , o p e r a t o r [ 1 ] = " - " 此 时 函 数 会 通 过 e v a l 进 行 “ 4 - 2 ” 的 运 算 ， 并 将 运 算 结 果 仍 然 保 存 在 i n i t p o o l [ 1 ] 中 。 也 就 是 说 ， 每 次 进 入 e v a l 函 数 时 ， i n i t p o o l 永 远 只 有 三 个 有 效 元 素 ， 即 下 标 i n i t p o o l [ 0 ] （ 在 e v a l 函 数 中 总 等 于 2 ） ， 左 操 作 数 i n i t p o o l [ 1 ] 和 右 操 作 数 i n i t p o o l [ 2 ] ， 并 将 运 算 结 果 放 在 i n i t p o o l [ i n i t p o o l [ 0 ] - 1 ] = i n i t p o o l [ 1 ] 中 。 这 符 合 一 次 运 算 的 必 备 条 件 ， 即 ： 一 个 运 算 符 和 两 个 操 作 数 一 个 运 算 符 和 两 个 操 作 数 经 过 p a r s e _ e x p r 函 数 的 多 次 运 算 ， 最 终 会 将 计 算 结 果 输 出 给 用 户 ： 上 图 中 ， e b p + v a r _ 5 A 0 的 位 置 为 i n i t p o o l [ 0 ] ， e b p + v a r _ 5 9 C 的 位 置 为 i n i t p o o l [ 1 ] ， 因 此 最 后 输 出 的 结 果 应 为 ： i n i t p o o l [ 1 + i n i t p o o l [ 0 ] - 1 ] = i n i t p o o l [ i n i t p o o l [ 0 ] ] 这 时 候 ， 漏 洞 就 出 现 了 （ 敲 黑 板 ！ ） 。 这 时 候 ， 漏 洞 就 出 现 了 （ 敲 黑 板 ！ ） 。 ▌ 漏 洞 分 析 漏 洞 分 析 在 上 面 的 分 析 中 我 们 可 以 知 道 ， 虽 然 e v a l 函 数 看 似 每 次 都 将 运 算 结 果 放 在 i n i t p o o l [ 1 ] 中 ， 但 是 实 际 上 这 个 下 标 “ 1 ” 是 由 i n i t p o o l [ 0 ] - 1 得 到 的 。 由 于 正 常 的 运 算 中 i n i t p o o l [ 0 ] 总 是 等 于 2 ， 因 此 我 们 总 能 将 运 算 结 果 放 到 i n i t p o o l [ 1 ] 中 ， 并 最 终 将 i n i t p o o l [ 1 ] 的 值 作 为 整 个 运 算 表 达 式 的 运 算 结 果 返 回 给 用 户 。 可 是 实 际 上 ， 我 们 返 回 的 是 i n i t p o o l [ i n i t p o o l [ 0 ] ] 的 值 。 若 我 们 能 改 变 i n i t p o o l [ 0 ] 的 值 为 任 意 值 ， 那 么 我 们 就 有
可 能 泄 露 栈 上 的 某 个 位 置 的 值 ， 甚 至 能 通 过 运 算 改 变 该 位 置 的 值 。 我 们 知 道 ， i n i t p o o l [ 0 ] 的 初 始 值 为 0 ， 那 么 i n i t p o o l [ 0 ] 的 值 最 开 始 是 从 哪 里 改 变 的 呢 ？ 看 下 面 这 段 代 码 ： 这 段 代 码 的 含 义 是 ： 若 运 算 符 左 边 的 操 作 数 存 在 ， 那 么 就 将 操 作 数 放 到 i n i t p o o l [ i n i t p o o l [ 0 ] + 1 ] 的 位 置 ， 并 将 i n i t p o o l [ 0 ] 的 值 + 1 。 如 果 当 前 操 作 符 左 边 的 操 作 数 不 存 在 呢 ？ 如 果 当 前 操 作 符 左 边 的 操 作 数 不 存 在 呢 ？ 也 就 是 说 ， 表 达 式 的 第 一 个 字 符 就 是 运 算 符 而 不 是 操 作 数 呢 ？ 这 样 的 话 ， i n i t p o o l [ 0 ] 的 值 在 解 析 下 一 个 操 作 符 之 前 就 还 是 0 ， 而 不 是 1 ， 当 第 一 次 进 入 e v a l 函 数 时 ， 我 们 的 运 算 场 景 就 出 现 了 一 个 不 符 合 运 算 条 件 的 情 况 ： 一 个 运 算 符 和 仅 有 的 一 个 操 作 数 一 个 运 算 符 和 仅 有 的 一 个 操 作 数 比 如 我 们 输 入 “ + 3 0 0 ” 这 样 一 个 畸 形 的 运 算 表 达 式 ， 当 函 数 处 理 到 最 后 一 个 字 符 “ 0 × 0 ” ， 这 时 的 运 算 场 景 如 下 ： i n i t p o o l [ 0 ] = 1 , i n i t p o o l [ 1 ] = 3 0 0 o p e r a t o r [ 0 ] = " + " e v a l 函 数 中 ， 由 于 i n i t p o o l [ * i n i t p o o l   -   1 ]   =   i n i t p o o l [ * i n i t p o o l   -   1 ]   + i n i t p o o l [ * i n i t p o o l ] ， 所 以 i n i t p o o l [ 0 ] = i n i t p o o l [ 0 ] + i n i t p o o l [ 1 ] = 3 0 1 ， 最 后 i n i t p o o l [ 0 ] 自 减 1 ， 因 此 ， 输 出 给 用 户 的 最 终 值 为 i n i t p o o l [ 3 0 0 ] 。 这 样 就 泄 露 了 栈 上 e b p - 5 A 0 h + 3 0 0 = e b p - 1 1 4 0 位 置 里 的 值 。 结 果 如 下 图 所 示 ： 若 我 们 输 入 形 如 “ + 3 0 0 - 2 0 ” ， “ + 3 0 0 + 1 0 0 0 ” ， 则 会 对 栈 上 的 值 进 行 计 算 再 输 出 ： 上 图 得 知 ， i n i t p o o l [ 3 0 0 ] 的 值 本 来 为 0 ， 经 过 计 算 后 输 出 了 - 2 0 。 那 么 我 们 究 竟 有 没 有 对 那 么 我 们 究 竟 有 没 有 对 i n i t p o o l [ 3 0 0 ] 这 个 位 置 的 数 修 改 成 功 呢 ？ 这 个 位 置 的 数 修 改 成 功 呢 ？ 我 们 可 以 做 如 下 实 验 ： 可 以 看 出 ， 没 有 修 改 成 功 。 。 。 大 失 所 望 。 。 。 但 是 不 知 道 大 家 是 否 记 得 ， c a l c 函 数 中 每 次 运 算 的 循 环 周 期 都 会 对 i n i t p o o l 和 表 达 式
缓 冲 区 s 进 行 清 0 （ 如 下 图 所 示 ） ， 是 不 是 因 为 这 个 原 因 呢 ？ 如 果 是 这 样 ， 我 们 就 找 一 块 不 在 它 们 里 面 的 栈 空 间 来 计 算 。   由 于 e b p - 5 A 0 h 到 e b p - 0 C h 这 段 栈 空 间 都 被 i n i t p o o l 和 s 覆 盖 ， 每 次 循 环 都 会 被 清 0 ， 因 此 我 们 找 到 e b p - 0 C h 这 个 4 字 节 栈 单 元 来 测 试 。 该 空 间 为 i n i t p o o l [ 3 5 7 ] 。 测 试 结 果 如 下 ： 从 图 中 可 以 看 出 ， 修 改 成 功 了 ！ 我 们 成 功 地 将 i n i t p o o l [ 3 5 7 ] 这 个 4 字 节 栈 单 元 内 的 值 覆 盖 为 另 一 个 计 算 过 的 值 ！ 这 是 一 个 振 奋 人 心 的 消 息 ， 因 为 函 数 的 返 回 地 址 就 在 它 的 后 面 ， 也 属 于 可 被 修 改 的 栈 单 元 ！ 因 为 函 数 的 返 回 地 址 就 在 它 的 后 面 ， 也 属 于 可 被 修 改 的 栈 单 元 ！ 回 到 我 们 开 始 的 问 题 ， 为 什 么 c a n a r y 不 足 以 保 证 栈 上 数 据 被 篡 改 ？ 因 为 c a n a r y 的 位 置 在 函 数 返 回 地 址 之 后 ， 而 该 题 的 漏 洞 允 许 攻 击 者 绕 过 c a n a r y 直 接 篡 改 返 回 值 ， 因 此 c a n a r y 的 值 不 变 ， 也 就 不 会 给 攻 击 者 进 行 栈 溢 出 带 来 麻 烦 。 我 们 尝 试 着 修 改 原 返 回 值 地 址 里 的 值 ， 将 其 替 换 成 其 它 值 。 我 们 首 先 要 知 道 函 数 的 返 回 地 址 在 栈 的 位 置 ， 摸 清 该 位 置 与 i n i t p o o l 的 起 始 位 置 的 距 离 ， 这 样 才 能 通 过 i n i t p o o l 来 修 改 返 回 地 址 。 从 上 图 可 以 看 出 ， 当 前 的 栈 空 间 比 较 清 楚 明 了 ， i n i t p o o l 距 离 当 前 栈 的 起 始 位 置 为 5 A 0 h = 1 4 4 0 字 节 ， 也 就 是 1 4 4 0 / 4 = 3 6 0 个 栈 单 元 ， 而 众 所 周 知 ， 返 回 地 址 是 在 当 前 e b p 位 置 的 前 一 个 位 置 入 栈 ， 也 就 是 说 ， 返 回 地 址 距 离 i n i t p o o l 的 地 址 为 3 6 1 个 栈 单 元 即 i n i t p o o l [ 3 6 0 ] 。 当 前 栈 空 间 如 下 图 ：
我 们 可 以 通 过 输 入 “ + 3 6 1 ” 来 泄 露 返 回 地 址 ： 可 以 看 到 ， 在 输 入 + 3 6 1 后 ， 程 序 返 回 1 3 4 5 1 7 9 1 3 ， 即 0 × 0 8 0 4 9 4 9 9 。 查 看 I D A ， 在 m a i n 函 数 中 ， 调 用 c a l c 函 数 的 下 一 条 汇 编 指 令 为 m o v 指 令 ， 它 的 地 址 即 为 0 × 0 8 0 4 9 4 9 9 ： 而 当 我 们 输 入 “ + 3 6 1 - 9 9 9 ” 的 时 候 ， 该 返 回 地 址 就 被 修 改 了 ： 这 样 一 来 ， 我 们 的 思 路 就 很 清 晰 了 ： 通 过 不 断 地 输 入 畸 形 运 算 表 达 式 来 修 改 栈 空 间 内 函 数 返 回 地 址 及 其 之 后 的 值 ， 最 终 实 现 不 断 地 输 入 畸 形 运 算 表 达 式 来 修 改 栈 空 间 内 函 数 返 回 地 址 及 其 之 后 的 值 ， 最 终 实 现 栈 溢 出 攻 击 。 栈 溢 出 攻 击 。 ▌ 漏 洞 利 用 漏 洞 利 用 由 于 目 标 系 统 开 启 了 N X ， 无 法 直 接 在 栈 上 执 行 s h e l l c o d e ， 而 且 使 用 o b j d u m p 命 令 可 知 ， 该 程 序 是 完 全 静 态 链 接 的 （ 下 图 ） ， 因 此 我 们 首 先 考 虑 的 就 是 使 用 R O P 技 术 来 想 办 法 调 用 e x e c v e ( “ / b i n / s h ” ) 来 启 动 L i n u x   s h e l l ， 再 通 过 c a t 命 令 查 看 f l a g 的 内 容 。 若 想 调 用 e x e c v e ( “ / b i n / s h ” ) ， 则 需 要 构 造 一 个 R O P 链 来 创 建 场 景 。 我 个 人 一 直 认 为 R O P 是 安 全 领 域 里 的 一 项 十 分 有 艺 术 性 的 技 术 ， 它
的 思 路 很 巧 妙 ， 也 能 激 发 攻 守 双 方 的 头 脑 风 暴 。 我 们 知 道 ， 在 制 作 s h e l l c o d e 时 ， 通 常 使 用 i n t   8 0 h 来 调 用 某 个 系 统 函 数 ， 而 i n t   8 0 h 这 条 指 令 ， 往 往 是 通 过 e a x 寄 存 器 的 值 来 判 断 调 用 哪 个 系 统 函 数 ， 且 通 过 e b x 、 e c x 、 e d x 等 寄 存 器 来 存 放 要 调 用 的 系 统 函 数 的 参 数 。 在 本 题 的 场 景 中 ， e x e c v e 函 数 的 系 统 调 用 号 为 1 1 ， 也 就 是 说 ， 我 们 在 调 用 i n t   8 0 h 之 前 ， 需 要 将 e a x 的 值 置 为 1 1 。 同 时 ， e x e c v e 函 数 共 有 三 个 参 数 ， 其 中 在 这 里 只 有 第 一 个 参 数 “ / b i n / s h ” 有 用 ， 而 另 外 两 个 参 数 可 为 0 。 这 样 一 来 ， 我 们 就 需 要 构 建 R O P 链 ， 将 寄 存 器 场 景 变 为 ： e a x = 1 1 e b x = “ / b i n / s h ” 字 符 串 的 地 址 e c x = 0 e d x = 0 R O P 链 是 由 若 干 条 R O P “ 小 部 件 ” 组 成 的 ， 其 中 每 个 “ 小 部 件 ” 都 是 一 个 以 “ r e t ” 指 令 结 尾 的 汇 编 指 令 片 段 ， 而 这 些 R O P 链 的 位 置 都 不 在 栈 上 ， 而 在 程 序 的 可 执 行 的 段 内 （ 如 . t e x t 段 ） 。 比 如 “ p o p   e a x ;   r e t ” 就 是 一 个 “ 小 部 件 ” ， 它 的 功 能 是 将 当 前 栈 顶 的 数 值 弹 出 并 放 入 e a x 中 ， 并 返 回 到 栈 顶 内 的 值 指 向 的 地 址 去 继 续 执 行 程 序 。 只 要 我 们 将 每 个 “ 小 部 件 ” 的 地 址 从 函 数 返 回 值 处 开 始 依 次 存 入 栈 中 ， 程 序 就 会 依 次 跳 到 每 个 “ 小 部 件 ” 上 执 行 相 应 的 代 码 ， 此 时 栈 空 间 内 的 每 个 单 元 的 数 据 就 相 当 于 程 序 的 指 明 灯 ， 告 诉 程 序 该 去 哪 里 执 行 ， 而 不 会 在 栈 上 执 行 任 何 代 码 。 我 使 用 R O P g a d g e t 这 个 工 具 来 生 成 R O P 小 部 件 ， 从 而 构 建 R O P 链 。 为 了 将 e a x 的 值 置 为 1 1 ， 我 找 到 了 “ p o p   e a x ;   r e t ” （ 地 址 为 0 x 0 8 0 5 c 3 4 b ） 这 个 小 部 件 ， 通 过 将 栈 上 值 1 1 弹 出 并 存 入 e a x 来 修 改 e a x 的 值 ； 而 后 ， 为 了 将 e d x 置 为 0 ， 我 找 到 了 “ p o p   e d x ;   r e t ” （ 地 址 为 0 x 0 8 0 7 0 1 a a ） 这 个 小 部 件 ， 原 理 相 同 。 最 后 ， 我 通 过 “ p o p   e c x ;   p o p   e b x ;   r e t ” （ 地 址 为 0 x 0 8 0 7 0 1 d 1 ） 这 个 小 部 件 将 e c x 和 e b x 的 值 置 为 0 和 “ / b i n / s h ” 字 符 串 的 地 址 。 我 们 要 构 建 的 R O P 链 在 栈 上 的 情 况 如 下 ： 分 析 清 楚 了 要 构 造 的 场 景 ， 剩 下 的 就 靠 我 们 通 过 输 入 的 畸 形 表 达 式 来 计 算 并 设 置 i n i t p o o l 的 3 6 1 ~ 3 7 0 这 十 个 栈 单 元 。 对 于 每 一 个 栈 单 元 ， 我 们 首 先 获 取 其 内 的 值 ， 而 后 计 算 该 值 与 目 标 值 的 差 ， 最 后 相 减 即 可 。 比 如 我 们 要 将 3 6 2 位 置 上 的 值 变 为 1 1 ， 首 先 输 入 “ + 3 6 2 ” 得 到 当 前 3 6 2 栈 单 元 的 值 1 3 5 1 8 4 8 9 6 ， 然 后 计 算 1 3 5 1 8 4 8 9 6 - 1 1 = 1 3 5 1 8 4 8 8 5 ， 最 后 输 入 “ + 3 6 2 - 1 3 5 1 8 4 8 8 5 ” 将 栈 内 值 修 改 为 1 1 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理