搜索

[19504] 2019-07-09_CTF必备技能丨LinuxPwn入门教程——ShellCode

文档创建者：s7ckTeam
浏览次数：20
最后更新：2025-01-18
2019-07-09_CTF必备技能丨LinuxPwn入门教程——ShellCode C T F 必 备 技 能 丨 L i n u x   P w n 入 门 教 程 — — S h e l l C o d e i 春 秋   2 0 1 9 - 0 7 - 0 9 这 是 一 套 L i n u x   P w n 入 门 教 程 系 列 ， 作 者 依 据 i 春 秋 P w n 入 门 课 程 中 的 技 术 分 类 ， 并 结 合 近 几 年 赛 事 中 出 现 的 一 些 题 目 和 文 章 整 理 出 一 份 相 对 完 整 的 L i n u x   P w n 教 程 。 课 程 回 顾 > > L i n u x   P w n 入 门 教 程 第 一 章 ： 环 境 配 置 L i n u x   P w n 入 门 教 程 第 二 章 ： 栈 溢 出 基 础 本 系 列 教 程 仅 针 对 i 3 8 6 / a m d 6 4 下 的 L i n u x   P w n 常 见 的 P w n 手 法 ， 如 栈 ， 堆 ， 整 数 溢 出 ， 格 式 化 字 符 串 ， 条 件 竞 争 等 进 行 介 绍 ， 所 有 环 境 都 会 封 装 在 D o c k e r 镜 像 当 中 ， 并 提 供 调 试 用 的 教 学 程 序 ， 来 自 历 年 赛 事 的 原 题 和 带 有 注 释 的 p y t h o n 脚 本 。 教 程 中 的 题 目 和 脚 本 若 有 使 用 不 妥 之 处 ， 欢 迎 各 位 大 佬 批 评 指 正 。 大 家 如 果 在 学 习 过 程 中 有 疑 惑 ， 或 者 是 想 学 习 更 多 的 实 用 技 能 ， 欢 迎 进 群 交 流 ， 会 有 更 多 小 伙 伴 与 你 共 同 探 讨 、 学 习 ， 让 你 的 “ 网 安 之 路 ” 不 孤 单 ！ 快 速 进 群 通 道 快 速 进 群 通 道 今 天 是 L i n u x   P w n 入 门 教 程 第 三 章 ： S h e l l C o d e 的 使 用 、 原 理 与 变 形 ， 本 文 篇 幅 较 长 ， 希 望 大 家 耐 心 看 完 ， 阅 读 用 时 约 1 5 分 钟 。
S h e l l C o d e 的 使 用 在 上 一 篇 文 章 中 我 们 学 习 了 怎 么 使 用 栈 溢 出 劫 持 程 序 的 执 行 流 程 。 为 了 减 少 难 度 ， 演 示 和 作 业 题 程 序 里 都 带 有 很 明 显 的 后 门 。 然 而 在 现 实 世 界 里 并 不 是 每 个 程 序 都 有 后 门 ， 即 使 是 有 ， 也 没 有 那 么 好 找 。 因 此 ， 我 们 就 需 要 使 用 定 制 的 S h e l l C o d e 来 执 行 自 己 需 要 的 操 作 。 首 先 我 们 把 演 示 程 序 ~ / O p e n c t f   2 0 1 6 - t y r o _ s h e l l c o d e 1 / t y r o _ s h e l l c o d e 1 复 制 到 3 2 位 的 D o c k e r 环 境 中 并 开 启 调 试 器 进 行 调 试 分 析 。 需 要 注 意 的 是 ， 由 于 程 序 带 了 一 个 很 简 单 的 反 调 试 ， 在 调 试 过 程 中 可 能 会 弹 出 如 下 窗 口 ： 此 时 点 O K ， 在 弹 出 的 E x c e p t i o n   h a n d l i n g 窗 口 中 选 择 N o （ d i s c a r d ） 丢 弃 掉 S I G A L R M 信 号 即 可 。 与 上 一 篇 教 程 不 同 的 是 ， 这 次 的 程 序 并 不 存 在 栈 溢 出 。 从 F 5 的 结 果 上 看 程 序 使 用 r e a d 函 数 读 取 的 输 入 甚 至 都 不 在 栈 上 ， 而 是 在 一 片 使 用 m m a p 分 配 出 来 的 内 存 空 间 上 。
通 过 调 试 ， 我 们 可 以 发 现 程 序 实 际 上 是 读 取 我 们 的 输 入 ， 并 且 使 用 c a l l 指 令 执 行 我 们 的 输 入 。 也 就 是 说 我 们 的 输 入 会 被 当 成 汇 编 代 码 被 执 行 。
显 然 ， 我 们 这 里 随 便 输 入 的 “ 1 2 3 4 5 6 7 8 ” 有 点 问 题 ， 继 续 执 行 的 话 会 出 错 。 不 过 ， 当 程 序 会 把 我 们 的 输 入 当 成 指 令 执 行 ， S h e l l C o d e 就 有 用 武 之 地 了 。 首 先 我 们 需 要 去 找 一 个 S h e l l C o d e ， 我 们 希 望 S h e l l C o d e 可 以 打 开 一 个 S h e l l 以 便 于 远 程 控 制 只 对 我 们 暴 露 了 一 个 1 0 0 0 1 端 口 的 D o c k e r 环 境 ， 而 且 S h e l l C o d e 的 大 小 不 能 超 过 传 递 给 r e a d 函 数 的 参 数 ， 即 0 x 2 0 = 3 2 。 我 们 通 过 著 名 的 s h e l l - s t o r m . o r g 的 S h e l l C o d e 数 据 库 s h e l l - s t o r m . o r g / s h e l l c o d e / 找 到 了 一 段 符 合 条 件 的 S h e l l C o d e 。 2 1 个 字 节 的 执 行 s h 的 S h e l l C o d e ， 点 开 一 看 里 面 还 有 代 码 和 介 绍 。 我 们 先 不 管 这 些 介 绍 ， 把 S h e l l C o d e 取 出 来 。 使 用 P w n t o o l s 库 把 S h e l l C o d e 作 为 输 入 传 递 给 程 序 ， 尝 试 使 用 i o . i n t e r a c t i v e (   ) 与 程 序 进 行 交 互 ， 发 现 可 以 执 行 s h e l l 命 令 。
当 然 ， s h e l l - s t o r m 上 还 有 可 以 执 行 其 他 功 能 如 关 机 ， 进 程 炸 弹 ， 读 取 / e t c / p a s s w d 等 的 S h e l l C o d e ， 大 家 也 可 以 试 一 下 。 总 而 言 之 ， S h e l l C o d e 是 一 段 可 以 执 行 特 定 功 能 的 神 秘 代 码 。 那 么 S h e l l C o d e 是 怎 么 被 编 写 出 来 ， 又 是 怎 么 执 行 指 定 操 作 的 呢 ？ 我 们 继 续 来 深 挖 下 去 。 S h e l l C o d e 的 原 理 这 次 我 们 直 接 把 断 点 下 在 c a l l   e a x 上 ， 然 后 F 7 跟 进 。 可 以 看 到 我 们 的 输 入 变 成 了 如 下 汇 编 指 令 ： 我 们 可 以 选 择 O p t i o n s - > G e n e r a l ， 把 N u m b e r   o f   o p c o d e   b y t e s   ( n o n - g r a p h ) 的 值 调 大 。
会 发 现 每 条 汇 编 指 令 都 对 应 着 长 短 不 一 的 一 串 1 6 进 制 数 。 对 汇 编 有 一 定 了 解 的 读 者 应 该 知 道 ， 这 些 1 6 进 制 数 串 叫 做 o p c o d e 。 o p c o d e 是 由 最 多 6 个 域 组 成 的 ， 和 汇 编 指 令 存 在 对 应 关 系 的 机 器 码 。 或 者 说 可 以 认 为 汇 编 指 令 是 o p c o d e 的 “ 别 名 ” 。 易 于 人 类 阅 读 的 汇 编 语 言 指 令 ， 如 x o r   e c x ,   e c x 等 ， 实 际 上 就 是 被 汇 编 器 根 据 o p c o d e 与 汇 编 指 令 的 替 换 规 则 替 换 成 1 6 进 制 数 串 ， 再 与 其 他 数 据 经 过 组 合 处 理 ， 最 后 变 成 0 1 字 符 串 被 C P U 识 别 并 执 行 的 。 当 然 ， I D A 之 类 的 反 汇 编 器 也 是 使 用 替 换 规 则 将 1 6 进 制 串 处 理 成 汇 编 代 码 的 。 所 以 我 们 可 以 直 接 构 造 合 法 的 1 6 进 制 串 组 成 的 o p c o d e 串 ， 即 S h e l l C o d e ， 使 系 统 得 以 识 别 并 执 行 ， 完 成 我 们 想 要 的 功 能 。 关 于 o p c o d e 六 个 域 的 组 成 及 其 他 深 入 知 识 此 处 不 再 赘 述 ， 感 兴 趣 的 读 者 可 以 在 I n t e l 官 网 获 取 开 发 者 手 册 或 其 他 地 方 查 阅 资 料 进 行 了 解 并 尝 试 查 表 阅 读 机 器 码 或 者 手 写 S h e l l C o d e 。 系 统 调 用
我 们 继 续 执 行 这 段 代 码 ， 可 以 发 现 E A X ,   E B X ,   E C X ,   E D X 四 个 寄 存 器 被 先 后 清 零 ， E A X 被 赋 值 为 0 X b ， E C X 入 栈 ， “ / b i n / / s h ” 字 符 串 入 栈 ， 并 将 其 首 地 址 赋 给 了 E B X ， 最 后 执 行 完 i n t   8 0 h ， I D A 弹 出 了 一 个 w a r n i n g 窗 口 显 示 g o t   S I G T R A P   s i g n a l 。 点 击 O K ， 继 续 F 8 或 者 F 9 执 行 ， 选 择 Y e s （ p a s s   t o   a p p ）   ， 然 后 在 p y t h o n 中 执 行 i o . i n t e r a c t i v e (   ) 进 行 手 动 交 互 ， 随 便 输 入 一 个 s h e l l 命 令 如 l s ， 在 I D A 窗 口 中 再 次 按 F 9 ， 弹 出 另 一 个 捕 获 信 号 的 窗 口 。 同 样 O K 后 继 续 执 行 ， 选 择 Y e s （ p a s s   t o   a p p ） ， 发 现 p y t h o n 窗 口 中 的 s h e l l 命 令 被 成 功 执 行 。 那 么 问 题 来 了 ， 我 们 这 段 S h e l l C o d e 里 面 并 没 有 s y s t e m 这 个 函 数 ， 是 谁 实 现 了 “ s y s t e m ( " / b i n / s h " ) ” 的 效 果 呢 ？ 事 实 上 ， 通 过 刚 刚 的 调 试 大 家 应 该 能 猜 到 是 陌 生 的 i n t   8 0 h 指 令 。 查 阅 i n t e l 开 发 者 手 册 我 们 可 以 知 道 i n t 指 令 的 功 能 是 调 用 系 统 中 断 ， 所 以 i n t   8 0 h 就 是 调 用 1 2 8 号 中 断 。 在 3 2 位 的 l i n u x 系 统 中 ， 该 中 断 被 用 于 呼 叫 系 统 调 用 程 序 s y s t e m _ c a l l (   ) ， 我 们 知 道 出 于 对 硬 件 和 操 作 系 统 内 核 的 保 护 ， 应 用 程 序 的 代 码 一 般 在 保 护 模 式 下 运 行 。 在 这 个 模 式 下 我 们 使 用 的 程 序 和 写 的 代 码 是 没 办 法 访 问 内 核 空 间 的 。 但 是 我 们 显 然 可 以 通 过 调 用 r e a d (   ) ,   w r i t e (   ) 之 类 的 函 数 从 键 盘 读 取 输 入 ， 把 输 出 保 存 在 硬 盘 里 的 文 件 中 。 那 么 r e a d (   ) ,   w r i t e (   ) 之 类 的 函 数 是 怎 么 突 破 保 护 模 式 的 管 制 ， 成 功 访 问 到 本 该 由 内 核 管 理 的 这 些 硬 件 呢 ？ 答 案 就 在 于 i n t   8 0 h 这 个 中 断 调 用 。 不 同 的 内 核 态 操 作 通 过 给 寄 存 器 设 置 不 同 的 值 ， 再 调 用 同 样 的 指 令 i n t   8 0 h ， 就 可 以 通 知 内 核 完 成 不 同 的 功 能 。 而 r e a d (   ) ,   w r i t e (   ) ,   s y s t e m (   ) 之 类 的 需 要 内 核 “ 帮 忙 ” 的 函 数 ， 就 是 围 绕 这 条 指 令 加 上 一 些 额 外 参 数 处 理 ， 异 常 处 理 等 代 码 封 装 而 成 的 。 3 2 位 l i n u x 系 统 的 内 核 一 共 提 供 了 0 ~ 3 3 7 号 共 计 3 3 8 种 系 统 调 用 用 以 实 现 不 同 的 功 能 。 知 道 了 i n t   8 0 h 的 具 体 作 用 之 后 ， 我 们 接 着 去 查 表 看 一 下 如 何 使 用 i n t   8 0 h 实 现 s y s t e m ( " / b i n / s h " ) 。 通 过 h t t p : / / s y s c a l l s . k e r n e l g r o k . c o m / ， 我 们 没 找 到 s y s t e m ， 但 是 找 到 了 这 个 ：
对 比 我 们 使 用 的 S h e l l C o d e 中 的 寄 存 器 值 ， 很 容 易 发 现 S h e l l C o d e 中 的 E A X   =   0 X b   =   1 1 ， E B X   =   & ( “ / b i n / / s h ” ) ,   E C X   =   E D X   =   0 ， 即 执 行 了 s y s _ e x e c v e ( " / b i n / / s h " ,   0 ,   0 ,   0 ) ， 通 过 / b i n / s h 软 链 接 打 开 一 个 s h e l l ， 所 以 我 们 可 以 在 没 有 s y s t e m 函 数 的 情 况 下 打 开 s h e l l 。 需 要 注 意 的 是 ， 随 着 平 台 和 架 构 的 不 同 ， 呼 叫 系 统 调 用 的 指 令 ， 调 用 号 和 传 参 方 式 也 不 尽 相 同 ， 例 如 6 4 位 l i n u x 系 统 的 汇 编 指 令 就 是 s y s c a l l ， 调 用 s y s _ e x e c v e 需 要 将 E A X 设 置 为 0 x 3 B ， 放 置 参 数 的 寄 存 器 也 和 3 2 位 不 同 。 S h e l l C o d e 的 变 形 在 很 多 情 况 下 ， 我 们 多 试 几 个 S h e l l C o d e ， 总 能 找 到 符 合 能 用 的 。 但 是 在 有 些 情 况 下 ， 为 了 成 功 将 S h e l l C o d e 写 入 被 攻 击 的 程 序 的 内 存 空 间 中 ， 我 们 需 要 对 原 有 的 S h e l l C o d e 进 行 修 改 变 形 以 避 免 S h e l l C o d e 中 混 杂 有 x 0 0 ,   x 0 A 等 特 殊 字 符 ， 或 是 绕 过 其 他 限 制 。 有 时 候 甚 至 需 要 自 己 写 一 段 S h e l l C o d e 。 我 们 通 过 两 个 例 子 分 别 学 习 一 下 如 何 使 用 工 具 和 手 工 对 S h e l l C o d e 进 行 变 形 。 首 先 我 们 分 析 例 子 ~ / B S i d e s   S a n   F r a n c i s c o   C T F   2 0 1 7 - b _ 6 4 _ b _ t u f f / b - 6 4 - b - t u f f . 从 F 5 的 结 果 上 看 ， 我 们 很 容 易 知 道 这 个 程 序 会 将 我 们 的 输 入 进 行 b a s e 6 4 编 码 后 作 为 汇 编 指 令 执 行 ( 注 意 存 放 b a s e 6 4 编 码 后 结 果 的 字 符 串 指 针 S h e l l C o d e 在 r e t u r n   0 的 前 一 行 被 类 型 强 转 为 函 数 指 针 并 调 用 )
虽 然 程 序 直 接 给 了 我 们 执 行 任 意 代 码 的 机 会 ， 但 是 b a s e 6 4 编 码 的 限 制 要 求 我 们 的 输 入 必 须 只 由 0 - 9 ， a - z ， A - Z ， + ， / 这 些 字 符 组 成 ， 然 而 我 们 之 前 用 来 开 s h e l l 的 S h e l l C o d e " x 3 1 x c 9 x f 7 x e 1 x b 0 x 0 b x 5 1 x 6 8 x 2 f x 2 f x 7 3 x 6 8 x 6 8 x 2 f x 6 2 x 6 9 x 6 e x 8 9 x e 3 x c d x 8 0 " 显 然 含 有 大 量 的 非 b a s e 6 4 编 码 字 符 ， 甚 至 包 含 了 大 量 的 不 可 见 字 符 。 因 此 ， 我 们 就 需 要 对 其 进 行 编 码 。 在 不 改 变 S h e l l C o d e 功 能 的 情 况 下 对 其 进 行 编 码 是 一 个 繁 杂 的 工 作 ， 因 此 我 们 首 先 考 虑 使 用 工 具 。 事 实 上 ， p w n t o o l s 库 中 自 带 了 一 个 e n c o d e 类 用 来 对 S h e l l C o d e 进 行 一 些 简 单 的 编 码 ， 但 是 目 前 e n c o d e 类 的 功 能 较 弱 ， 似 乎 无 法 避 开 太 多 字 符 ， 因 此 我 们 需 要 用 到 另 一 个 工 具 m s f V E N O M 。 由 于 k a l i 中 自 带 了 m e t a s p l o i t ， 使 用 k a l i 的 读 者 可 以 直 接 使 用 。 首 先 我 们 查 看 一 下 m s f v e n o m 的 帮 助 选 项 ： 显 然 ， 我 们 需 要 先 执 行 m s f v e n o m   - l   e n c o d e r s 挑 选 一 个 编 码 器
图 中 的 x 8 6 / a l p h a _ m i x e d 可 以 将 s h e l l c o d e 编 码 成 大 小 写 混 合 的 代 码 ， 符 合 我 们 的 条 件 。 所 以 我 们 配 置 命 令 参 数 如 下 ： p y t h o n   - c ' i m p o r t   s y s ;   s y s . s t d o u t . w r i t e ( " x 3 1 x c 9 x f 7 x e 1 x b 0 x 0 b x 5 1 x 6 8 x 2 f x 2 f x 7 3 x 6 8 x 6 8 x 2 f x 6 2 x 6 9 x 6 e x 8 9 x e 3 x c d x 8 0 " ) '   |   m s f v e n o m   - p   -   - e x 8 6 / a l p h a _ m i x e d   - a   l i n u x   - f   r a w   - a   x 8 6   - - p l a t f o r m   l i n u x   B u f f e r R e g i s t e r = E A X   - o   p a y l o a d 我 们 需 要 自 己 输 入 S h e l l C o d e ， 但 m s f v e n o m 只 能 从 s t d i n 中 读 取 ， 所 以 使 用 l i n u x 管 道 操 作 符 “ | ” ， 把 S h e l l C o d e 作 为 p y t h o n 程 序 的 输 出 ， 从 p y t h o n 的 s t d o u t 传 送 到 m s f v e n o m 的 s t d i n 。 此 外 配 置 编 码 器 为 x 8 6 / a l p h a _ m i x e d ， 配 置 目 标 平 台 架 构 等 信 息 ， 输 出 到 文 件 名 为 p a y l o a d 的 文 件 中 。 最 后 ， 由 于 在 b - 6 4 - b - t u f f 中 是 通 过 指 令 c a l l   e a x 调 用 s h e l l c o d e 的
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理