搜索

[19633] 2020-07-23_【干货分享】表哥亲自传授bof秘笈，快收藏！

文档创建者：s7ckTeam
浏览次数：21
最后更新：2025-01-18
2020-07-23_【干货分享】表哥亲自传授bof秘笈，快收藏！ 【 干 货 分 享 】 表 哥 亲 自 传 授   b o f   秘 笈 ， 快 收 藏 ！ 原 创   H A I _   i 春 秋   2 0 2 0 - 0 7 - 2 3 今 天 的 文 章 是 i 春 秋 论 坛 作 家 「 H A I _ 」 表 哥 原 创 的 一 篇 关 于 b o f 的 学 习 攻 略 ， 他 把 学 习 过 程 中 感 悟 与 心 得 分 享 给 需 要 的 小 伙 伴 ， 感 兴 趣 的 童 鞋 快 来 学 习 吧 ！ 注 ： 公 众 号 旨 在 为 大 家 提 供 更 多 的 学 习 方 法 与 技 能 技 巧 ， 文 章 仅 供 学 习 参 考 。 分 类 分 类 1 、 数 据 覆 盖 ； 2 、 返 回 地 址 函 数 跳 转 ； 3 、 函 数 覆 盖 调 用 ； 4 、 函 数 构 造 ； 5 、 o f f 计 算 以 及 b s s 数 据 写 入 。
数 据 覆 盖 数 据 覆 盖 先 来 解 释 一 下 数 据 覆 盖 是 指 什 么 ， 这 里 是 说 ， 通 过 溢 出 来 覆 写 其 他 位 置 的 数 据 ， 达 到 某 种 效 果 。 一 般 题 目 比 较 常 见 的 就 是 更 改 逻 辑 判 断 。 溢 出 有 一 个 东 西 是 不 变 的 ， 就 是 你 既 然 要 溢 出 ， 那 么 必 然 要 写 满 才 能 溢 出 。 那 么 如 果 判 断 是 b o f 的 话 ， 第 一 步 找 到 溢 出 点 ， 第 二 步 就 是 用 无 用 的 数 据 填 满 。 公 式 ： p a y l o a d = 需 要 覆 盖 垃 圾 数 据 的 量 + 需 要 覆 写 的 内 容 需 要 覆 盖 垃 圾 数 据 的 量 = 待 覆 盖 变 量 地 址 - 溢 出 变 量 地 址 整 理 一 下 就 是 p a y l o a d = 待 覆 盖 变 量 地 址 - 溢 出 变 量 地 址 + 需 要 覆 写 的 内 容 那 么 按 照 这 样 子 的 逻 辑 我 们 来 看 一 个 例 子 ： 汇 编 看 不 懂 没 关 系 ， F 5 也 行 ， 前 期 不 要 求 。
这 里 可 以 看 到 我 们 溢 出 点 在 g e t 上 ， 并 且 需 要 用 s 去 覆 盖 a 1 ， 那 么 按 照 公 式 ： 待 覆 盖 变 量 地 址 = e b p + a r g _ 0 = e b p + 8 溢 出 变 量 地 址 = e b p - 2 C h 需 要 覆 盖 垃 圾 数 据 的 量 = 待 覆 盖 变 量 地 址 - 溢 出 变 量 地 址 = e b p + 8 - e b p - 2 C h = 8 + 2 c h = 3 4 需 要 覆 写 的 内 容 = 0 x C A F E B A B E
p a y l o a d = 3 4 个 垃 圾 数 据 + 0 x C A F E B A B E 这 里 使 用 p w n t o o l s 进 行 p a y l o a d 的 生 成 ， 自 己 写 也 没 问 题 。 返 回 地 址 函 数 跳 转 返 回 地 址 函 数 跳 转 1 、 目 标 提 供 了 、 目 标 提 供 了 s y s t e m 函 数 函 数 这 里 就 是 说 覆 盖 地 址 把 返 回 地 址 之 前 的 内 容 都 覆 盖 完 了 ， 那 么 这 里 就 获 得 了 返 回 地 址 的 覆 写 权 ， 也 可 以 说 是 操 作 权 。 一 般 什 么 时 候 会 用 到 这 个 东 西 呢 ， 比 如 说 ， 这 个 程 序 有 一 个 方 法 ， 但 是 在 却 没 有 进 行 调 用 ， 我 们 就 可 以 通 过 控 制 返 回 地 址 来 达 到 覆 写 执 行 的 目 录 。 可 以 简 单 的 理 解 为   就 是 执 行 了 一 个   g o t o 跳 转 。 f r o m   p w n   i m p o r t   * p a y l o a d = 0 x 3 4 * ' A ' + p 3 2 ( 0 x C A F E B A B E ) p r i n t ( p a y l o a d )
公 式 ： p a y l o a d = 覆 写 垃 圾 数 据 + 返 回 地 址 的 值 这 里 也 来 举 一 个 例 子 ： 这 里 可 以 看 到 一 个 g o o d _ g a e m 函 数 。 可 以 看 到 是 读 取 了 一 个 f l a g . t x t 的 文 件 。
按 照 公 式 我 们 来 找 ： 覆 写 垃 圾 数 据 = 0 x 8 8 返 回 地 址 的 值 = 0 x 4 0 0 6 2 0 那 最 后 的 p a y l o a d = 0 x 8 8 * ' A ' + 0 x 4 0 0 6 2 0 这 里 还 是 使 用 p w n t o o l s 来 进 行 p a y l o a d 的 生 成
2 、 目 标 没 有 提 供 、 目 标 没 有 提 供 s y s t e m ， 需 要 自 己 写 ， 需 要 自 己 写 s h e l l c o d e 。 。 这 里 就 是 说 n x 没 有 开 启 保 护 的 情 况 下 ， 就 可 以 自 己 来 进 行 s h e l l c o d e 的 编 写 ， 一 般 可 以 写 s h e l l c o d e 要 求 填 充 数 据 的 位 置 要 够 。 公 式 ： p a y l o a d = s h e l l c o d e + ( 垃 圾 填 充 长 度 - s h e l l c o d e 长 度 ) 的 垃 圾 数 据 + 返 回 地 址 ( s h e l l c o d e ) 的 地 址 还 是 举 个 例 子 ： 这 里 可 以 看 到 是 r e a d 导 致 的 溢 出 。 f r o m   p w n   i m p o r t   * p a y l o a d = 0 x 8 8 * ' A ' + p 6 4 ( 0 x 4 0 0 6 2 0 ) p r i n t ( p a y l o a d )
然 后 这 里 看 到 打 印 了 地 址 ： 效 果 大 概 是 这 样 ： 那 么 我 们 还 是 按 照 公 式 来 找 ， 首 先 是 填 充 字 段 = 0 x 8 8 。
返 回 地 址 需 要 进 行 动 态 截 取 ， 就 需 要 使 用 p w n t o o l s 进 行 ， s h e l l c o d e 也 是 用 p w n t o o l s 生 成 ， 真 的 是 十 分 方 便 。 函 数 覆 盖 调 用 函 数 覆 盖 调 用 这 里 是 指 ， 在 没 有 函 数 让 我 们 进 行 g o t o 跳 转 也 就 是 操 作 返 回 地 址 的 时 候 ， 就 需 要 对 函 数 进 行 主 动 的 调 用 。 公 式 ： p a y l o a d = 覆 盖 垃 圾 地 址 + 覆 盖 返 回 地 址 + 函 数 地 址 + 返 回 地 址 + 参 数 1 + 参 数 2 . . . 这 里 来 看 一 个 实 例 ： f r o m   p w n   i m p o r t   * s h   =   p r o c e s s ( " . / l x 3 " ) s h e l l c o d e   =   a s m ( s h e l l c r a f t . i 3 8 6 . l i n u x . s h ( ) ) l i n e   =   s h . r e c v l i n e ( ) [ 1 4 : - 2 ] b u f _ a d d r   =   i n t ( l i n e , 1 6 ) p a y l o a d   =   s h e l l c o d e   +   ' A '   *   ( 0 x 8 8   +   0 x 4   -   l e n ( s h e l l c o d e ) )   +   p 3 2 ( b u f _ a d d r ) s h . s e n d ( p a y l o a d ) s h . i n t e r a c t i v e ( ) s h . c l o s e ( )
还 是 r e a d 的 溢 出 点 覆 盖 垃 圾 地 址 = 0 x 8 8 这 里 返 回 地 址 直 接 随 便 填 就 行 覆 盖 返 回 地 址 = ' A ' * 4 函 数 地 址 = 0 x 0 8 0 4 8 2 4 B 函 数 地 址 我 们 i d a   s h i f t + f 1 2   看 一 下 s t r i n g 这 里 返 回 地 址 如 果 没 有 要 执 行 下 一 步 的 话 ， 直 接 返 回 垃 圾 数 据 就 行 。 返 回 地 址 = ' A ' * 4 ， 参 数 1 = / b i n / s h = 0 x 0 8 0 4 A 0 2 4 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理