搜索

[19503] 2019-07-04_CTF必备技能丨LinuxPwn入门教程——栈溢出基础（文末有彩蛋）

文档创建者：s7ckTeam
浏览次数：56
最后更新：2025-01-18
2019-07-04_CTF必备技能丨LinuxPwn入门教程——栈溢出基础（文末有彩蛋） C T F 必 备 技 能 丨 L i n u x   P w n 入 门 教 程 — — 栈 溢 出 基 础 （ 文 末 有 彩 蛋 ） i 春 秋   2 0 1 9 - 0 7 - 0 4 这 是 一 套 L i n u x   P w n 入 门 教 程 系 列 ， 作 者 依 据 i 春 秋 P w n 入 门 课 程 中 的 技 术 分 类 ， 并 结 合 近 几 年 赛 事 中 出 现 的 一 些 题 目 和 文 章 整 理 出 一 份 相 对 完 整 的 L i n u x   P w n 教 程 。 课 程 回 顾 > > L i n u x   P w n 入 门 教 程 第 一 章 ： 环 境 配 置 更 多 更 多 P w n 视 频 课 程 视 频 课 程 本 系 列 教 程 仅 针 对 i 3 8 6 / a m d 6 4 下 的 L i n u x   P w n 常 见 的 P w n 手 法 ， 如 栈 ， 堆 ， 整 数 溢 出 ， 格 式 化 字 符 串 ， 条 件 竞 争 等 进 行 介 绍 ， 所 有 环 境 都 会 封 装 在 D o c k e r 镜 像 当 中 ， 并 提 供 调 试 用 的 教 学 程 序 ， 来 自 历 年 赛 事 的 原 题 和 带 有 注 释 的 p y t h o n 脚 本 。 教 程 中 的 题 目 和 脚 本 若 有 使 用 不 妥 之 处 ， 欢 迎 各 位 大 佬 批 评 指 正 。 今 天 是 L i n u x   P w n 入 门 教 程 第 二 章 ： 栈 溢 出 基 础 ， 阅 读 用 时 约 1 0 分 钟 。 函 数 的 进 入 与 返 回 函 数 的 进 入 与 返 回
要 想 理 解 栈 溢 出 ， 首 先 必 须 理 解 在 汇 编 层 面 上 的 函 数 进 入 与 返 回 。 首 先 我 们 用 一 个 简 单 执 行 一 次 回 显 输 入 的 程 序 h e l l o 开 始 。 用 I D A 加 载 h e l l o ， 定 位 到 m a i n 函 数 后 我 们 发 现 这 个 程 序 的 逻 辑 十 分 简 单 ， 调 用 函 数 h e l l o 获 取 输 入 ， 然 后 输 出 “ h e l l o , ” 加 上 输 入 的 名 字 后 退 出 。 使 用 F 5 看 反 汇 编 后 的 C 代 码 可 以 非 常 方 便 的 看 懂 逻 辑 。 我 们 选 中 I D A - V i e w 窗 口 或 者 按 T a b 键 切 回 到 汇 编 窗 口 ， 在 m a i n 函 数 的 c a l l   h e l l o 一 行 下 断 点 ， 开 启 3 2 位 的 D o c k e r 环 境 ， 启 动 调 试 服 务 器 后 直 接 按 F 9 进 行 调 试 。 如 图 ， 这 是 当 前 I D A 的 界 面 。 在 这 张 图 中 我 们 需 要 重 点 注 意 到 的 东 西 有 栈 窗 口 ， E I P 寄 存 器 ， E B P 寄 存 器 和 E S P 寄 存 器 。 首 先 我 们 可 以 看 到 E I P 寄 存 器 始 终 指 向 下 一 条 将 要 执 行 的 指 令 ， 也 就 是 说 如 果 我 们 可 以 通 过 某 种 方 式 修 改 E I P 寄 存 器 的 值 ， 我 们 就 可 以 控 制 整 个 程 序 的 执 行 ， 从 而 “ p w n ” 掉 程 序 ( 要 验 证 这 一 点 ， 我 们 可 以 在 E I P 后 面 的 数 字 上 点 击 右 键 选 择 M o d i f y v a l u e . . . . . . . 把 数 值 改 成 0 8 0 4 8 4 D E 然 后 F 9 继 续 执 行 ， 从 而 跳 过 c a l l   h e l l o 一 行 ) 。 剩 下 的 东 西 都 和 栈 相 关 。 顾 名 思 义 ， 栈 就 是 一 个 数 据 结 构 中 的 栈 结 构 ， 遵 循 先 入 后 出 的 规 则 。 这 个 栈 的 最 小 单 位 是 函 数 栈 帧 ， 一 个 函 数 栈 帧 的 结 构 如 图 所 示 ：
栈 的 生 长 方 式 是 向 低 地 址 生 长 ， 也 就 是 说 这 张 图 的 方 向 和 I D A 中 栈 窗 口 的 方 向 是 一 样 的 ， 越 往 上 地 址 值 越 小 。 同 样 的 ， 新 入 栈 的 栈 帧 在 I D A 的 窗 口 中 会 把 原 来 的 栈 帧 “ 压 ” 在 下 面 。 E S P 和 E B P 两 个 寄 存 器 负 责 标 定 当 前 栈 帧 的 范 围 。 图 中 标 黑 的 部 分 即 为 实 际 上 E S P 和 E B P 中 间 的 最 大 区 域 （ 为 了 方 便 讲 解 ， 我 们 把 E I P 和 参 数 也 列 入 一 个 函 数 的 函 数 栈 帧 ） 。 图 中 的 局 部 变 量 和 参 数 很 好 理 解 ， 但 E B P 和 E I P 又 是 什 么 意 思 呢 ？ 我 们 回 到 I D A 调 试 窗 口 。 按 照 程 序 的 逻 辑 ， 接 下 来 应 该 是 执 行 c a l l   h e l l o 这 行 指 令 调 用 h e l l o 这 个 函 数 ， 函 数 执 行 完 后 回 到 下 一 行 的 m o v   e a x ,   0 ， 其 地 址 为 0 8 0 4 8 4 D E . 然 后 我 们 再 把 当 前 E S P 和 E B P 的 值 记 下 来 ( 受 地 址 空 间 随 机 化 A S L R 的 影 响 ， 每 台 电 脑 每 次 运 行 到 此 处 的 E S P 和 E B P 值 不 一 定 相 同 ) ， 然 后 按 F 7 进 入 h e l l o 函 数 。
如 图 ， 执 行 完 c a l l   h e l l o 这 一 行 指 令 后 发 生 了 如 下 改 变 。 由 此 我 们 可 以 得 知 c a l l 指 令 是 可 以 改 变 E I P “ 始 终 指 向 下 一 条 指 令 地 址 ” 的 行 为 的 ， 且 c a l l 指 令 会 把 c a l l 下 一 条 指 令 地 址 压 栈 。 我 们 可 以 理 解 为 c a l l   h e l l o 等 价 于 p u s h   e i p ;   m o v   e i p ,   [ h e l l o ] 。 所 以 我 们 的 第 一 个 问 题 “ 栈 帧 中 的 E I P 是 什 么 意 思 ” 的 回 答 就 是 ： 栈 帧 中 的 E I P 是 c a l l 指 令 的 下 一 条 指 令 的 地 址 ， 我 们 继 续 F 8 单 步 执 行 。
如 图 ， 通 过 依 次 执 行 三 条 指 令 ， 程 序 为 h e l l o 函 数 开 辟 了 新 的 栈 帧 ， 同 时 把 原 来 的 栈 帧 ， 即 执 行 了 c a l l   h e l l o 函 数 的 m a i n 函 数 的 栈 帧 的 栈 底 E B P 保 存 到 栈 中 。 继 续 往 下 执 行 到 r e a d 函 数 ， 然 后 随 便 输 入 一 些 比 较 有 标 志 性 的 内 容 ， 比 如 1 2 3 4 5 6 7 8 ， 我 们 就 会 发 现 存 储 输 入 的 局 部 变 量 b u f 就 在 这 片 新 开 辟 的 栈 帧 中 。
我 们 已 经 接 触 到 了 栈 帧 的 开 辟 与 被 使 用 情 况 ， 接 下 来 我 们 再 通 过 调 试 继 续 学 习 栈 帧 的 销 毁 。 继 续 F 8 到 l e a v e 一 行 ， 此 时 我 们 会 发 现 栈 帧 再 次 回 到 了 刚 执 行 完 s u b   e s p ,   1 8 h 的 状 态 。 执 行 完 l e a v e 一 行 指 令 后 栈 帧 被 销 毁 ， 整 体 状 态 回 到 了 c a l l   h e l l o 执 行 前 的 状 态 。 即 l e a v e 指 令 相 当 于 a d d   e s p ,   x x h ;   m o v   e s p ,   e b p ; p o p   e b p
再 次 F 8 ， 发 现 E I P 指 向 了 c a l l   h e l l o 的 下 一 行 指 令 ， 同 时 栈 中 保 存 的 E I P 值 被 弹 出 ， 栈 顶 地 址 + 4 .   即 r e t n 等 同 于 p o p   e i p 此 时 h e l l o 函 数 代 码 执 行 完 毕 ， 控 制 流 程 返 回 到 了 调 用 h e l l o 函 数 的 m a i n 函 数 中 。 栈 溢 出 实 战 栈 溢 出 实 战 通 过 上 一 节 的 调 试 ， 我 们 大 概 理 解 了 函 数 栈 的 初 始 化 和 销 毁 过 程 。 我 们 发 现 随 着 我 们 的 输 入 变 多 ， 输 入 的 内 容 离 栈 上 保 存 的 E I P 地 址 越 来 越 近 ， 那 么 我 们 可 不 可 以 通 过 输 入 修 改 掉 栈 上 的 E I P 地 址 ， 从 而 在 r e t n 指 令 执 行 完 后 “ p w n ” 掉 程 序 呢 ？ 我 们 按 C t r l + F 2 结 束 掉 当 前 的 调 试 ， 再 试 一 次 。 为 了 节 约 时 间 ， 这 回 我 们 直 接 把 断 点 下 在 h e l l o 函 数 里 的 c a l l   _ r e a d 一 行 。
启 动 调 试 ， 程 序 中 断 后 界 面 如 下 ： 通 过 观 察 r e a d 函 数 的 参 数 和 栈 中 的 保 存 的 E I P 地 址 ， 我 们 计 算 出 两 者 的 偏 移 是 0 x 1 6 个 字 节 ， 也 就 是 说 输 入 0 x 1 6 = 2 2 个 字 节 的 数 据 ， 我 们 的 输 入 就 会 和 栈 中 的 E I P “ 接 上 ” ， 输 入 2 2 + 4 = 2 6 个 字 节 ， 我 们 的 输 入 就 会 覆 盖 掉 E I P 。 那 么 我 们 构 造 p a y l o a d 为 ‘ A ’ * 2 2 + ‘ B ’ * 4 即 A A A A A A A A A A A A A A A A A A A A A A B B B B ， 根 据 我 们 的 推 测 ， 在 E I P 寄 存 器 指 向 r e t n 指 令 所 在 地 址 时 ， 栈 顶 应 该 是 ‘ B B B B ’ 。 即 r e t n 执 行 完 之 后 ， E I P 里 的 值 将 不 再 是 图 中 框 起 来 的 0 8 0 4 8 4 D E ， 而 是 4 2 4 2 4 2 4 2 （ B B B B 的 A S C I I 值 ） ， 按 F 8 使 I D A 挂 起 ， 在 d o c k e r 环 境 中 输 入 p a y l o a d ： 栈 中 的 E I P 果 然 按 照 我 们 的 推 测 被 修 改 成 4 2 4 2 4 2 4 2 了 。 显 然 ， 这 是 一 个 非 法 的 内 存 地 址 ， 它 所 在 的 内 存 页 此 时 对 我 们 来 说 并 没 有 访 问 权 限 ， 所 以 我 们 运 行 完 r e t n 后 程 序 将 会 报 错 。
选 择 O K ， 继 续 F 8 并 且 选 择 将 错 误 传 递 给 系 统 ， 这 个 进 程 接 收 到 信 号 后 将 会 结 束 ， 调 试 结 束 。 我 们 通 过 一 个 程 序 本 身 的 b u g 构 造 了 一 个 特 殊 输 入 结 束 掉 了 它 。 结 合 结 合 p w n t o o l s 打 造 一 个 远 程 代 码 执 行 漏 洞 打 造 一 个 远 程 代 码 执 行 漏 洞 e x p 通 过 上 一 节 的 内 容 ， 我 们 已 经 可 以 做 到 远 程 使 一 个 程 序 崩 溃 。 不 要 小 看 这 个 成 果 。 如 果 我 们 能 挖 掘 到 安 全 软 件 或 者 系 统 的 漏 洞 从 而 使 其 崩 溃 ， 我 们 就 可 以 让 某 些 保 护 失 效 ， 从 而 使 后 面 的 入 侵 更 加 轻 松 。 当 然 ， 我 们 也 不 应 该 满 足 于 这 个 成 果 ， 如 果 可 以 继 续 扩 大 这 个 漏 洞 的 利 用 面 ， 制 造 一 个 著 名 的 R C E （ 远 程 代 码 执 行 ） ， 为 所 欲 为 ， 岂 不 是 更 好 ？ 当 然 ， C T F 中 的 绝 大 部 分 p w n 题 也 同 样 需 要 通 过 暴 露 给 玩 家 的 一 个 I P 地 址 和 端 口 号 的 组 合 ， 通 过 对 端 口 上 运 行 的 程 序 进 行 挖 掘 ， 使 用 挖 掘 到 的 漏 洞 使 程 序 执 行 不 该 执 行 的 代 码 ， 从 而 获 取 到 f l a g ， 这 也 是 我 们 学 习 的 目 标 。 为 了 降 低 难 度 ， 我 在 编 写 h e l l o 这 个 小 程 序 的 时 候 已 经 预 先 埋 了 一 个 后 门 — — 位 于 0 8 0 4 8 4 6 B 的 名 为 g e t S h e l l 的 函 数 。 如 图 ， 这 个 函 数 唯 一 的 作 用 就 是 调 用 s y s t e m ( " / b i n / s h " ) 打 开 一 个 b a s h   s h e l l ， 从 而 可 以 执 行 s h e l l 命 令 与 系 统 本 身 进 行 交 互 。 正 常 的 程 序 流 程 并 不 会 调 用 这 个 函 数 ， 所 以 我 们 将 会 利 用 上 一 节 中 发 现 的 漏 洞 劫 持 程 序 执 行 流 程 ， 从 而 执 行 g e t S h e l l 函 数 。 首 先 我 们 把 h e l l o 的 I O 转 发 到 1 0 0 0 1 端 口 上 。
然 后 我 们 从 D o c k e r 环 境 中 获 取 其 I P 地 址 （ 我 的 是 1 7 2 . 1 7 . 0 . 2 ， 不 同 环 境 下 可 能 不 同 ） 然 后 在 k a l i 中 启 动 p y t h o n ， 导 入 p w n t o o l s 库 并 且 打 开 一 个 与 D o c k e r 环 境 1 0 0 0 1 端 口 （ 即 h e l l o 程 序 ） 的 连 接 。 此 时 我 们 可 以 像 上 一 篇 文 章 一 样 打 开 I D A 进 行 附 加 调 试 ， 在 这 里 我 就 不 再 次 演 示 了 。 从 上 一 节 的 分 析 我 们 知 道 p a y l o a d 的 组 成 应 该 是 2 2 个 任 意 字 符 + 地 址 。 但 是 我 们 要 怎 么 把 1 6 进 制 数 表 示 的 地 址 转 换 成 4 个 字 节 的 字 符 串 呢 ？ 我 们 可 以 选 用 s t r u c t s 库 ， 当 然 p w n t o o l s 提 供 了 一 个 更 方 便 的 函 数 p 3 2 (   ) （ 即 p a c k 3 2 位 地 址 ， 同 样 的 还 有 u n p a c k 3 2 位 地 址 的 u 3 2 (   ) 以 及 不 同 位 数 的 p 1 6 (   ) , p 6 4 (   ) 等 等 ） ， 所 以 我 们 的 p a y l o a d 就 是 2 2 * ' A ' + p 3 2 ( 0 x 0 8 0 4 8 4 6 B ) 。 由 于 读 取 输 入 的 函 数 是 r e a d ， 我 们 在 输 入 时 不 需 要 以 回 车 作 为 结 束 符 ( p r i n t f ， g e t c ， g e t s 等 则 需 要 ) ， 我 们 使 用 代 码 i o . s e n d ( p a y l o a d ) 向 程 序 发 送 p a y l o a d 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理