搜索

[12842] 2018-06-18_一次与缓冲区溢出的亲密接触

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2018-06-18_一次与缓冲区溢出的亲密接触 一 次 与 缓 冲 区 溢 出 的 亲 密 接 触 y e a r n w a n g   F r e e B u f   2 0 1 8 - 0 6 - 1 8 起 因 起 因 这 是 一 个 简 单 的 缓 冲 区 溢 出 的 漏 洞 ， 今 天 没 事 ， 来 分 析 一 下 看 看 他 溢 出 的 原 因 ， 最 后 通 过 平 衡 堆 栈 的 方 式 ， 让 这 是 一 个 简 单 的 缓 冲 区 溢 出 的 漏 洞 ， 今 天 没 事 ， 来 分 析 一 下 看 看 他 溢 出 的 原 因 ， 最 后 通 过 平 衡 堆 栈 的 方 式 ， 让 目 标 程 序 执 行 目 标 程 序 执 行 s h e l l c o d e 使 程 序 不 使 程 序 不 c r a s h 。 只 是 用 来 研 究 和 学 习 。 。 只 是 用 来 研 究 和 学 习 。 测 试 软 件 名 称 及 版 本 测 试 软 件 名 称 及 版 本 F T P S h e l l   C l i e n t   5 . 2 4 下 载 地 址 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 I H O f x 0 I Q Q O p u T s 5 5 f - T - a Q 密 码 ： q v o 4 用 到 的 工 具 用 到 的 工 具 I D A   6 . 8 w i n x p   s p 3   3 2 位 虚 拟 机 测 试 漏 洞 测 试 漏 洞 1 、 起 一 个 f t p 服 务 器 ， 打 开 2 1 端 口 。 2 、 等 待 客 户 端 连 接 后 ， 向 客 户 方 发 送 P W D 的 数 据 3 、 f t p 客 户 端 收 到 服 务 器 发 送 的 P W D 数 据 后 ， 会 c r a s h 服 务 器 给 客 户 端 发 送 的 数 据 ： 服 务 器 给 客 户 端 发 送 的 数 据 ： 远 程 注 入 代 码 前 后 的 流 程 图 对 比 ： 远 程 注 入 代 码 前 后 的 流 程 图 对 比 ：
分 析 漏 洞 的 位 置 ： 分 析 漏 洞 的 位 置 ： 这 个 c a l l 的 主 要 功 能 键 就 是 读 取 服 务 器 发 送 来 的 数 据 到 b u f f e r 程 序 分 配 栈 的 大 小 程 序 分 配 栈 的 大 小 进 入 r e a d _ s e r v e r _ s t r i n g _ t o _ b u f f e r 这 个 c a l l ， 我 们 看 看 分 配 栈 的 大 小 为 0 x 4 0 8 溢 出 的 位 置 溢 出 的 位 置 没 有 做 长 度 限 制 ， 这 个 地 方 只 要 大 于 0 x 4 0 8 个 字 符 ， 就 会 把 堆 栈 覆 盖
读 取 成 功 和 失 败 的 返 回 值 读 取 成 功 和 失 败 的 返 回 值 e a x   =   0 , 读 取 成 功 e a x   =   1 , 读 取 失 败 这 里 我 们 需 要 保 持 读 取 成 功 的 状 态 才 可 以
c r a s h 点 点 t a r g e t _ e i p 我 在 这 里 用 的 是 u s e r 3 2 . d l l , 地 址 为 ： 0 x 7 7 d 4 e 5 6 b   你 可 以 根 据 自 己 的 系 统 自 己 选 择 k e r n e l 3 2 . d l l 或 者 其 他 加 入 加 入 s h e l l c o d e 由 于 这 是 在 没 有 开 启 d e p 保 护 的 情 况 下 进 行 的 测 试 攻 击 ， 所 以 自 己 写 的 代 码 是 可 以 直 接 在 堆 栈 运 行 的 。 如 果 在 d e p 保 护 模 式 下 进 行 攻 击 的 话 ， s h e l l c o d e 的 代 码 就 需 要 通 过 r o p 链 来 进 行 维 护 ， 然 后 运 行 。 这 里 我 使 用 m s f v e n o m   - p   w i n d o w s / s h e l l _ b i n d _ t c p   L P O R T = 8 8 4 8   - f   c   生 成 s h e l l c o d e , 等 待 连 接 端 口
运 行 s e r v e r ， 然 后 用 f t p 连 接 ， 是 客 户 端 程 序 c r a s h 了 。 连 接 目 标 机 器 连 接 目 标 机 器 然 后 使 用 n m a p   扫 描 目 标 机 器 ， 发 现 目 标 机 器 8 8 4 8 端 口 已 经 打 开 ， 用 n c 连 接 进 入 了 一 个 c o n s l e 窗 口 c r a s h 做 事 要 有 始 有 终 ， 虽 然 程 序 c r a s h 了 ， 但 是 我 们 不 需 要 让 程 序 c r a s h , 要 不 然 就 被 用 户 知 道 了 ， 就 会 更 新 版 本 ， 或 者 重 装 软 件 ， 所 以 我 们 的 宗 旨 是 让 用 户 快 乐 的 用 这 带 后 门 的 程 序 。 分 析 分 析 c r a s h 的 原 因 的 原 因 因 为 栈 的 数 据 被 覆 盖 程 序 c r a s h 修 复 堆 栈 ， 防 止 程 序 修 复 堆 栈 ， 防 止 程 序 c r a s h 由 于 返 回 地 址 被 覆 盖 ， 所 以 我 们 需 要 修 复 堆 栈 ， 让 程 序 可 以 找 到 自 己 的 返 回 位 置 ， 那 么 程 序 就 不 会 c r a s h 了 ， 在 s h e l l c o d e 代 码 运 行 完 成 后 ， 我 们 加 入 以 下 平 衡 堆 栈 的 代 码 ， 就 不 会 c r a s h 了
再 次 测 试 ， 运 行 完 自 己 的 s h e l l c o d e ， 后 门 已 经 开 了 ， 程 序 依 然 还 在 运 行 ， 收 工   ： ） * 本 文 作 者 ： 本 文 作 者 ： y e a r n w a n g ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理