搜索

[15337] 2020-05-05_配合格式化字符串漏洞绕过canary保护机制

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2020-05-05_配合格式化字符串漏洞绕过canary保护机制 配 合 格 式 化 字 符 串 漏 洞 绕 过 c a n a r y 保 护 机 制 w w w h x y   F r e e B u f   2 0 2 0 - 0 5 - 0 5 0 x 0 1   起 起 （ 这 只 是 一 次 小 白 的 随 笔 记 录 ， 有 些 操 作 不 太 成 熟 ， 欢 迎 各 位 看 官 指 出 交 流 ） （ 这 只 是 一 次 小 白 的 随 笔 记 录 ， 有 些 操 作 不 太 成 熟 ， 欢 迎 各 位 看 官 指 出 交 流 ） 我 们 知 道 ， 缓 冲 区 溢 出 漏 洞 利 用 的 关 键 处 就 是 溢 出 时 ， 覆 盖 栈 上 保 存 的 函 数 返 回 地 址 来 达 到 攻 击 效 果 。 于 是 就 有 人 就 设 计 出 了 很 多 保 护 机 制 ： C a n a r y 、 P I E 、 N X 等 。 本 文 讨 论 的 就 是 若 程 序 只 开 启 了 c a n a r y 保 护 机 制 ， 我 们 该 怎 么 应 对 ？ 该 机 制 是 在 刚 进 入 函 数 的 时 候 ， 在 栈 底 放 一 个 标 志 位 c a n a r y （ 又 名 金 丝 雀 ） ： 当 缓 冲 区 被 溢 出 时 ， 在 返 回 地 址 被 覆 盖 之 前 ，   c a n a r y 会 首 先 被 覆 盖 。 当 函 数 结 束 时 会 检 查 这 个 栈 上   c a n a r y 的 值 是 否 和 存 进 去 的 值 一 致 ， 就 可 以 判 断 程 序 是 否 发 生 了 溢 出 等 攻 击 ， 紧 接 着 程 序 将 执 行 _ _ _ s t a c k _ c h k _ f a i l 函 数 ， 继 而 终 止 程 序 。 ( 为 了 防 止 发 生 信 息 泄 露 以 及 其 他 漏 洞 的 利 用   c a n a r y 使 用 x 0 0 对 值 进 行 截 断 ， 即 c a n a r y 的 最 低 字 节 为 0 0 ) 因 此 ， 我 们 绕 过 这 种 保 护 机 制 的 方 法 ， 就 是 怎 样 使 前 后 的 c a n a r y 判 断 正 确 。 一 般 c a n a r y 有 两 种 利 用 方 式 1 . 爆 破 c a n a r y （ 大 致 了 解 了 一 下 ） 2 . 如 果 程 序 存 在 字 符 串 格 式 化 溢 出 漏 洞 ， 我 们 就 可 以 输 出 c a n a r y 并 利 用 溢 出 覆 盖 c a n a r y 从 而 达 到 绕 过 。 这 里 我 们 讲 解 第 二 种 方 式 。 0 x 0 2   承 承 不 过 在 讲 解 之 前 ， 我 们 先 来 学 习 一 下 格 式 化 字 符 串 漏 洞 ？ 相 信 很 多 人 都 学 过 C 语 言 吧 ！ 而 C 语 言 最 普 通 的 却 必 不 可 少 的 就 是 p r i n t f ( ) 函 数 了 ！ 也 许 大 多 数 人 以 前 几 乎 没 有 怎 么 关 注 过 这 个 函 数 ， 那 么 今 天 就 重 新 刷 新 对 它 的 认 知 。 p r i n t f 在 C 语 言 中 一 般 是 这 种 写 法 ： p r i n t f ( “ % d ” , a ) ;   / / 输 出 数 a 的 十 进 制 格 式
其 中 双 引 号 里 面 是 a 的 输 出 格 式 要 求 ， 常 见 的 还 有 ： % d   -   十 进 制   -   输 出 十 进 制 整 数 % s   -   字 符 串   -   从 内 存 中 读 取 字 符 串 % x   -   十 六 进 制   -   输 出 十 六 进 制 数 % c   -   字 符   -   输 出 字 符 % p   -   指 针   -   指 针 地 址 % n   -   到 目 前 为 止 所 写 的 字 符 数 其 中 ： 此 外 ， 我 们 更 没 有 见 过 ： 例 ： % k $ x 表 示 访 问 第 k 个 参 数 ， 并 且 把 它 以 十 六 进 制 输 出 % k $ d 表 示 访 问 第 k 个 参 数 ， 并 且 把 它 以 十 进 制 输 出 … … 平 时 的 程 序 是 这 样 ： 但 是 如 果 程 序 员 一 不 小 心 这 样 写 呢 ？ 哈 哈 ， 似 乎 输 出 结 果 没 什 么 区 别 ！ 别 急 ， 因 为 你 不 知 道 的 是 ： 实 际 上 ， p r i n t f 允 许 参 数 的 个 数 并 不 固 定 ， 其 中 上 面 双 引 号 为 第 一 个 参 数 ： 格 式 化 字 符 串 ， 后 面 的 参 数 在 实 际 运 行 时 将 与 格 式 化 字 符 串 中 特 定 格 式 的 子 字 符 串 进 行 一 一 对 应 ， 将 格 式 化 字 符 串 中 的 特 定 子 串 ， 解 析 为 相 应 的 参 数 值 。 此 处 我 们 只 是 单 独 地 打 印 一 个 字 符 串 h e l l o _ w o r l d ， 如 果 我 们 用 户 输 入 的 是 一 个 格 式 化 字 符 f o r m a t （ 如 % s 、 % d 、 % k $ x ） ， 那 么 p r i n t f 就 会 读 取 栈 上 的 “ 数 据 ” ， 至 于 这 个 数 据 是 什 么 ？ （ 我 也 不 知 道 ） 请 看 后 文 ： 再 来 ：
此 时 ： m a i n + 1 5 处 ， 我 们 往 上 翻 翻 ：
而 接 下 来 的 操 作 就 是 一 直 n 操 作 到 将 p r i n t f 参 数 入 栈 ： 即 ： 汇 编 源 码 主 体 是 ： 栈 内 容 是 ：       0 x 8 0 4 9 1 8 9   < m a i n + 3 9 >         p u s h       2       0 x 8 0 4 9 1 8 b   < m a i n + 4 1 >         p u s h       1       0 x 8 0 4 9 1 8 d   < m a i n + 4 3 >         l e a         e d x ,   [ e a x   -   0 x 1 f f 3 ]       0 x 8 0 4 9 1 9 3   < m a i n + 4 9 >         p u s h       e d x       0 x 8 0 4 9 1 9 4   < m a i n + 5 0 >         m o v         e b x ,   e a x   ►   0 x 8 0 4 9 1 9 6   < m a i n + 5 2 >         c a l l       p r i n t f @ p l t   < 0 x 8 0 4 9 0 3 0 > 0 0 : 0 0 0 0 │   e s p       0 x f f f f d 2 6 0   — ▸   0 x 8 0 4 a 0 0 d   ◂ —   a n d         e a x ,   0 x 6 4 2 5 2 0 6 4   / *   ' % d   % d   % d   % d   % s '   * / 0 1 : 0 0 0 4 │             0 x f f f f d 2 6 4   ◂ —   0 x 1 0 2 : 0 0 0 8 │             0 x f f f f d 2 6 8   ◂ —   0 x 2 0 3 : 0 0 0 c │             0 x f f f f d 2 6 c   ◂ —   0 x 3 0 4 : 0 0 1 0 │             0 x f f f f d 2 7 0   ◂ —   0 x 1 0 0 5 : 0 0 1 4 │             0 x f f f f d 2 7 4   — ▸   0 x 8 0 4 a 0 0 8   ◂ —   j e           0 x 8 0 4 a 0 6 f   / *   ' t e s t '   * / 0 6 : 0 0 1 8 │             0 x f f f f d 2 7 8   — ▸   0 x f f f f d 3 3 c   — ▸   0 x f f f f d 4 e 9   ◂ —   ' S H E L L = / b i n / b a s h ' 0 7 : 0 0 1 c │             0 x f f f f d 2 7 c   — ▸   0 x 8 0 4 9 1 7 6   ( m a i n + 2 0 )   ◂ —   a d d         e a x ,   0 x 2 e 8 a
这 个 时 候 我 们 又 对 源 文 件 做 一 点 改 变 ： 重 复 以 上 步 骤 ： g c c   - m 3 2   - z   e x e c s t a c k   - f n o - s t a c k - p r o t e c t o r   - n o - p i e   - o   t e s t   t e s t . c 输 入 r ： 上 述 C 语 言 程 序 中 ， 我 们 只 给 了 五 个 参 数 ： 1 , 2 , 3 , 1 6 , t e s t , 但 是 我 们 给 的 格 式 字 符 串 有 7 个 。 于 是 ， p r i n t f 函 数 按 照 格 式 打 印 了 七 个 数 据 , 但 是 多 出 来 - 1 1 4 6 0 以 及 1 3 4 5 1 7 1 1 0 不 是 我 们 输 入 的 , 而 是 保 存 在 栈 中 的 另 外 两 个 数 据 。 通 过 这 个 特 性 , 就 有 了 格 式 化 字 符 串 漏 洞 。 至 此 ， 格 式 化 漏 洞 差 不 多 讲 明 白 了 吧 ！ 补 充 ： v c 6 . 0 + + 可 能 不 支 持 这 样 格 式 溢 出 ， 如 ： 但 是 在 l i n u x 里 面 就 可 以 打 印 出 7 t h ： 7 0 , 4 t h ： 0 0 4 0 0 x 0 3   转 转 现 在 我 们 正 式 进 入 今 天 的 主 题 ： 待 试 验 程 序 ：
# i n c l u d e < s t d i o . h > v o i d   e x p l o i t ( ) {         s y s t e m ( " / b i n / s h " ) ; } v o i d   f u n c ( ) {         c h a r   s t r [ 1 6 ] ;         r e a d ( 0 ,   s t r ,   6 4 ) ;         p r i n t f ( s t r ) ;         r e a d ( 0 ,   s t r ,   6 4 ) ; } i n t   m a i n ( ) {         f u n c ( ) ;         r e t u r n   0 ; } g c c   - n o - p i e   - f s t a c k - p r o t e c t o r     - m 3 2   - o   5 . e x e   5 . c c h e c k s e c   5 . e x e g d b   5 . e x e   i   b b   f u n c i   b s t a r t
然 后 一 直 输 入 n ， 直 到 遇 见 f u n c 函 数 ： 往 上 翻 ： 再 n ： 看 见 上 面 重 点 没 ？ 这 就 是 今 天 的 一 个 关 键 ！ （ g s 是 一 个 段 寄 存 器 ） 红 框 的 意 思 是 ， 从 g s 寄 存 器 中 取 出 一 个 4 字 节 ( e a x ) 的 值 存 到 栈 上 。 我 们 可 以 直 接 输 入 c a n a r y ： 这 个 时 候 我 第 一 眼 观 察 的 就 是 我 们 前 面 所 提 到 的 ： c a n a r y 设 计 是 以 “ x 0 0 ” 结 尾 ， 本 意 就 是 为 了 保 证 c a n a r y 可 以 截 断 字 符 串 。 泄 露 栈 中 c a n a r y 的 思 路 是 覆 盖 c a n a r y 的 低 字 节 ， 来 打 印 出 剩 余 的 c a n a r y 部 分 。 堆 栈 中 的 c a n a r y ： 继 续 n ， 直 到 r e a d 函 数 调 用 ：
再 次 查 看 栈 （ 这 个 时 候 栈 显 示 不 完 整 ， 输 入 s t a c k   2 0 ） ： 此 时 该 c a n a r y 所 在 位 置 离 栈 顶 e s p 的 偏 移 量 为 0 x 2 c ： 即 （ 4 个 字 节 一 组 ） 1 1 组 。 这 个 1 1 很 重 要 ！ 等 会 我 们 就 要 用 p r i n t f 函 数 输 出 这 个 位 置 的 c a n a r y 。 往 上 翻 ： 输 入 n ： 此 时 程 序 运 行 要 求 我 们 输 入
这 个 时 候 我 们 就 用 上 面 所 学 的 冷 门 格 式 化 字 符 串 % 1 1 $ 8 x （ 代 表 输 出 ） ： 这 个 时 候 再 n ： （ 由 于 上 次 时 间 问 题 ， 没 有 做 完 ！ 今 天 继 续 做 笔 记 。 因 为 每 次 编 译 运 行 c a n a r y 的 值 是 随 意 分 配 的 ， 所 以 以 下 c a n a r y 的 值 在 昨 天 同 样 的 操 作 步 骤 下 ， 已 经 变 了 ， 不 过 ！ 不 影 响 ！ ） 当 函 数 结 束 时 会 检 查 这 个 栈 上 的 值 是 否 和 存 进 去 的 值 一 致 。 这 个 时 候 我 们 继 续 n ， 就 会 遇 到 第 2 个 r e a d 函 数 ， 要 求 我 们 输 入 ：
（ 看 了 这 么 久 ， 估 计 源 程 序 已 经 忘 了 ！ ） 即 ： 经 过 上 面 的 分 析 ， 我 们 已 经 知 道 第 一 个 r e a d 函 数 的 设 置 是 为 了 打 印 出 金 丝 雀 的 值 ， 那 么 第 二 个 r e a d 函 数 呢 ？ 第 二 个 函 数 就 是 我 们 精 心 构 造 的 p a y l o a d 了 ！ 此 时 的 p a y l o a d 就 要 保 证 在 溢 出 攻 击 g e t s h e l l 的 同 时 ， 就 需 要 利 用 我 们 已 经 得 到 的 c a n a r y 值 了 ！ 那 么 怎 么 利 用 已 经 得 到 的 c a n a r y 的 值 来 得 到 p a y l o a d 呢 ？ 这 时 我 们 可 以 使 用 p y t h o n 脚 本 进 行 第 一 次 输 入 泄 露 c a n a r y 后 ， 在 进 行 第 二 次 输 入 的 时 候 ， 在 p a y l o a d 中 将 c a n a r y 的 位 置 填 充 成 刚 刚 泄 露 出 来 的 值 即 可 。 找 出 e x p l o i t 函 数 的 入 口 地 址 ！ 同 样 作 为 p a y l o a d 的 一 部 分 来 g e t s h e l l ： 脚 本 p y t h o n ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理