搜索

[8518] 2014-12-23_Offset2lib攻击测试：看我如何全面绕过64位Linux的内核防护

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2014-12-23_Offset2lib攻击测试：看我如何全面绕过64位Linux的内核防护 O f f s e t 2 l i b 攻 击 测 试 ： 看 我 如 何 全 面 绕 过 6 4 位 L i n u x 的 内 核 防 护 F r e e B u f   2 0 1 4 - 1 2 - 2 3 前 言 前 言 免 责 声 明 ： 本 站 提 供 安 全 工 具 、 程 序 ( 方 法 ) 可 能 带 有 攻 击 性 ， 仅 供 安 全 研 究 与 教 学 之 用 ， 风 险 自 负 ! 地 址 空 间 布 局 随 机 化 地 址 空 间 布 局 随 机 化 ( A S L R ) ， 在 你 知 道 目 标 代 码 或 数 据 定 位 的 前 提 下 ， 它 可 以 变 成 一 种 规 避 攻 击 的 技 术 。 正 因 为 黑 客 并 不 知 道 整 个 地 址 空 间 的 布 局 ， ， 在 你 知 道 目 标 代 码 或 数 据 定 位 的 前 提 下 ， 它 可 以 变 成 一 种 规 避 攻 击 的 技 术 。 正 因 为 黑 客 并 不 知 道 整 个 地 址 空 间 的 布 局 ， A S L R 技 术 变 得 极 为 有 效 。 只 有 当 可 执 技 术 变 得 极 为 有 效 。 只 有 当 可 执 行 程 序 编 译 为 行 程 序 编 译 为 P I E 时 （ 地 址 无 关 可 执 行 文 件 ） ， 才 能 最 大 限 度 地 从 时 （ 地 址 无 关 可 执 行 文 件 ） ， 才 能 最 大 限 度 地 从 A S L R 技 术 那 里 获 得 保 护 ， 因 为 其 所 有 组 成 部 分 都 是 从 随 机 地 址 加 载 的 。 技 术 那 里 获 得 保 护 ， 因 为 其 所 有 组 成 部 分 都 是 从 随 机 地 址 加 载 的 。 然 而 ， 当 可 执 行 文 件 被 编 译 成 P I E 之 后 ， G N U / L i n u x 下 的 A S L R 实 现 的 过 程 中 ， 会 出 现 一 个 名 为 O f f s e t 2 l i b 安 全 漏 洞 ， 其 专 门 用 于 绕 过 在 其 专 门 用 于 绕 过 在 G N U / L i n u x 下 如 下 如 A S L R 之 类 的 对 于 普 通 漏 洞 的 常 用 防 护 。 之 类 的 对 于 普 通 漏 洞 的 常 用 防 护 。 下 面 会 详 尽 向 您 说 明 该 漏 洞 是 如 何 被 利 用 的 。 该 攻 击 能 绕 过 平 常 使 用 的 保 护 技 术 如 ： 禁 止 运 行 位 下 面 会 详 尽 向 您 说 明 该 漏 洞 是 如 何 被 利 用 的 。 该 攻 击 能 绕 过 平 常 使 用 的 保 护 技 术 如 ： 禁 止 运 行 位 ( N X ) ， 地 址 空 间 布 局 随 机 化 ， 地 址 空 间 布 局 随 机 化 ( A S L R ) ， 堆 栈 溢 出 保 护 ， 堆 栈 溢 出 保 护 ( S S P ) ， 并 在 很 短 的 时 间 内 就 能 获 得 一 个 ， 并 在 很 短 的 时 间 内 就 能 获 得 一 个 远 程 的 远 程 的 s h e l l 。 。 F r e e B u f 小 科 普 小 科 普 l i b c ： L i n u x 下 的 A N S I   C 的 函 数 库 。   A N S I   C 是 基 本 的 C 语 言 函 数 库 ， 包 含 了 C 语 言 最 基 本 的 库 函 数 。 f o r k 服 务 器 ： 并 发 型 服 务 器 。 R O P 应 用 ： 所 谓 的 R e t u r n   O r i e n t a t e d   P r o g r a m m i n g ， 早 期 也 叫 r e t 2 l i b c 。 基 址 ： 装 入 一 个 模 块 , 从 某 地 址 开 始 存 放 ， 即 此 始 地 址 。 G r s e c u r i t y / P a X ： P a X 从 一 开 始 就 主 要 关 注 如 何 防 御 和 检 测 m e m o r y   c o r r u p t i o n ， 后 来 G r s e c u r i t y 社 区 发 现 P a X 和 他 们 所 关 注 的 非 常 类 似 ， 所 以 就 合 并 了 。 文 中 的 攻 击 只 有 它 不 受 影 响 ， 但 是 只 有 G e n t o o 和 D e b i a n   M e m p o 提 供 了 直 接 使 用 G r s e c u r i t y / P a X 的 途 径 。 A S L R 漏 洞 漏 洞 A S L R 漏 洞 只 适 用 于 G N U / L i n u x 系 统 ， 该 漏 洞 不 是 由 于 程 序 代 码 错 误 导 致 ， 而 是 因 为 设 计 缺 陷 。 幸 运 的 是 ， 在 6 4 位 系 统 中 它 可 以 被 轻 松 修 复 。 当 某 应 用 由 P I E 编 译 时 ， 就 会 出 现 这 个 问 题 。 该 可 执 行 文 件 的 镜 像 被 当 做 共 享 库 ， 在 内 存 的 随 机 位 置 出 现 。 加 载 A S L R 对 象 的 G N U / L i n u x 演 算 法 实 现 如 下 ： 1 . 第 一 个 共 享 对 象 会 在 该 应 用 里 的 随 机 位 置 加 载 2 . 对 象 加 载 会 呈 连 续 状 态 因 此 ， 内 存 地 址 泄 露 决 定 于 该 应 用 是 否 有 足 够 的 空 间 去 随 机 化 该 应 用 的 内 存 映 射 。 在 初 始 化 后 没 必 要 泄 露 地 址 ， 只 需 要 程 序 的 进 程 计 数 器 即 可 。 o f f s e t 2 l i b 的 值 是 一 个 定 值 ， 在 每 个 系 统 可 能 都 不 一 样 ， 它 决 定 于 库 版 本 ， 以 及 库 加 载 的 顺 序 。 O f f s e t 2 l i b 攻 击 攻 击 这 种 攻 击 的 目 标 是 获 得 应 用 代 码 的 地 址 。 接 下 来 的 这 种 攻 击 ， 采 用 了 标 准 的 缓 冲 区 溢 出 漏 洞 来 获 取 保 存 在 栈 里 的 应 用 代 码 的 s a v e d - I P 地 址 地 址 ( 应 用 地 址 ) 。 我 们 分 五 步 实 施 了 攻 击 。 首 先 ， 我 们 的 攻 击 对 目 标 程 序 和 其 执 行 环 境 做 一 个 离 线 分 析 。 被 A S L R 隐 藏 的 未 明 信 息 能 通 过 暴 力 获 得 ， 这 多 亏 了 目 标 的 f o r k 服 务 器 结 构 。 一 旦 我 们 获 得 了 目 标 应 用 的 完 整 地 址 ， 应 用 的 基 址 就 能 被 计 算 出 来 。 最 后 一 步 则 是 对 整 个 库 做 内 存 映 射 ， 这 将 决 定 于 目 标 G N U / L i n u x 的 版 本 。 获 得 隐 藏 的 未 明 信 息 后 ， 利 用 R O P 应 用 获 得 远 程 s h e l l 是 非 常 容 易 的 。 完 整 的 在 线 攻 击 流 程 或 许 会 更 短 。 攻 击 的 流 程 总 结 如 下 ： 攻 击 的 流 程 总 结 如 下 ： 1 . 提 取 静 态 信 息 2 . 暴 力 获 取 s a v e d - I P 部 分 3 . 计 算 应 用 基 址 4 . 计 算 o f f s e t 2 l i b 常 量 5 . 获 得 内 存 映 射 区 域 图 解 流 程 图 解 流 程 第 一 步 （ 上 ） ： 第 一 步 （ 上 ） ： 设 置 最 高 的 2 4 位 （ H a r d c o d e d ） ， 这 些 比 特 位 是 离 线 获 取 的 。
第 一 步 （ 下 ） ： 第 一 步 （ 下 ） ： 设 置 低 1 2 位 ， 这 决 定 于 对 齐 情 况 （ F r o m   t h e   E L F ） 。 第 二 步 ： 第 二 步 ： 剩 下 s a v e d - I P 的 2 8 位 ( U n k n o w n ) ， 由 b y t e - f o r - b y t e 攻 击 从 s a v e d - I P 那 里 获 得 ， 只 有 3 . 5 比 特 位 （ 加 起 来 2 8 位 ） 需 要 爆 破 。 第 三 步 ： 第 三 步 ： 通 过 使 用 s a v e d - I P 进 行 计 算 ， 我 们 可 以 获 得 可 执 行 文 件 的 基 址 ： A p p _ b a s e   =   ( s a v e d I P   &   0 x F F F ) - ( C A L L E R _ P A G E _ O F F S E T   < <   1 2 ) 0 x 0 0 0 0 7 F 3 6 C 6 f E B 0 0 0 第 四 步 ： 第 四 步 ： 计 算 出 目 标 库 的 o f f s e t 2 l i b 值 ， 它 会 因 系 统 的 不 同 而 不 同 ， 但 相 互 之 间 有 很 大 的 相 似 性 。 获 得 这 些 o f f s e t 2 l i b 的 值 有 一 个 迅 捷 的 办 法 ， 那 就 是 本 地 执 行 该 应 用 ， 打 印 出 偏 移 量 。 o f f s e t 2 l i b 并 不 决 定 于 应 用 本 身 ， 我 们 需 要 为 特 定 L i n u x 系 统 版 本 量 身 计 算 。 D i s t r i b u t i o n   L i b c   v e r .   O f f s e t 2 l i b C e n t O S   6 . 5         2 . 1 2         0 x 5 b 6 0 0 0         D e b i a n   7 . 1         2 . 1 3         0 x 5 a c 0 0 0         U b u n t u   1 2 . 0 4         2 . 1 5         0 x 5 e 4 0 0 0         U b u n t u   1 2 . 1 0         2 . 1 5         0 x 5 e 4 0 0 0 第 五 步 ： 第 五 步 ： l i b c 的 基 址 都 可 以 通 过 可 执 行 文 件 基 址 减 去 o f f s e t 2 l i b 值 来 计 算 ： L i b c _ b a s e   =   A p p _ b a s e   -   o f f s e t 2 l i b 我 们 这 里 做 的 这 种 攻 击 实 验 ， 只 是 为 了 展 示 如 何 利 用 A S L R   o f f s e t 2 l i b 漏 洞 。 可 以 预 见 的 是 ， 利 用 这 个 漏 洞 的 方 法 是 还 有 很 多 的 。 概 念 证 明 概 念 证 明 这 里 有 个 实 验 供 您 利 用 o f f s e t 2 l i b 漏 洞 ， 读 者 可 以 按 步 骤 跟 着 尝 试 ： 1 . 获 得 l i b c 库 里 o f f s e t 2 l i b 值 的 小 程 序 ： 下 载 地 址 ： g e t _ o f f s e t 2 l i b . t g z 2 .   漏 洞 服 务 器 环 境 ： 下 载 地 址 ： v u l n - s e r v e r - 6 4 b i t . t g z 3 . p y t h o n 编 写 的 攻 击 脚 本 ： 下 载 地 址 ： e x p l o i t - o f f s e t 2 l i b - u b u n t u - 1 4 . 0 4 . 1 - L T S . p y 启 动 漏 洞 服 务 器 ： 启 动 漏 洞 服 务 器 ： $   t a r   x v f   v u l n - s e r v e r - 6 4 b i t . t g z s e r v e r _ 6 4 _ P I E _ S S P . c M a k e f i l e $   m a k e r m   - f   s e r v e r _ 6 4 _ P I E _ S S P   g c c   s e r v e r _ 6 4 _ P I E _ S S P . c   - o   s e r v e r _ 6 4 _ P I E _ S S P   - m 6 4   - W a l l   - f P I E   - p i e   - f s t a c k - p r o t e c t o r - a l l $   s u d o   / e t c / i n i t . d / a p p o r t   s t o p     #   a v o i d   c r e a t i n g   c o r e s   o n   c r a s h e s   ( s p e e d - u p ) $   s u d o   . / s e r v e r _ 6 4 _ P I E _ S S P   S t a r t i n g   s e r v e r   o n   p o r t   [ 9 9 9 9 ] 获 得 目 标 系 统 的 获 得 目 标 系 统 的 o f f e t s 2 l i b 值 值 ( 请 新 开 一 个 选 项 卡 请 新 开 一 个 选 项 卡 ) ： ： $   t a r   x v f   g e t _ o f f s e t 2 l i b . t g z M a k e f i l e . o f f s e t 2 l i b g e t _ o f f s e t 2 l i b . c $   m a k e   - f   M a k e f i l e . o f f s e t 2 l i b $   . / g e t _ o f f s e t 2 l i b - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - = = = = = = = - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - = = = = = = = = = = = = = = = = = = = = = = = - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -       A u t h o r s :   H e c t o r   M a r c o - G i s b e r t   < h m a r c o @ h m a r c o . o r g >                         I s m a e l   R i p o l l   R i p o l l   < i r i p o l l @ u p v . e s >       C o m m e n t :   S c r i p t   t o   o b t a i n   t h e   o f f s e t 2 l i b   v a l u e   o f   t h i s   m a c h i n e .       A t t a c k :   h t t p : / / c y b e r s e c u r i t y . u p v . e s / a t t a c k s / o f f s e t 2 l i b / o f f s e t 2 l i b . h t m l - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - = = = = = = = = = = = = = = = = = = = = = = = - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - = = = = = = = - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - O f f s e t 2 l i b   ( l i b c ) :   0 x 5 f 0 0 0 0 配 置 配 置 e x p : $   s e d   - i   ' s / ( O F F S E T _ T O _ L I B C ) . * = . * / 1 = 0 x 5 f 0 0 0 0 / '                                       e x p l o i t - o f f s e t 2 l i b - u b u n t u - 1 4 . 0 4 . 1 - L T S . p y     $   o b j d u m p   - d   s e r v e r _ 6 4 _ P I E _ S S P |   g r e p   - A 1   v u l n e r a b l e _ f u n c t i o n > $         1 1 4 9 : e 8   8 2   f c   f f   f f               c a l l q     d d 0   < v u l n e r a b l e _ f u n c t i o n >       1 1 4 e : 4 8   8 d   4 5   c 0                     l e a         - 0 x 4 0 ( % r b p ) , % r a x $   s e d   - i   ' s / ( P A G E _ N U M B E R _ O F _ N E X T _ I N S T R U C T I O N _ T O _ C A L L ) . * = . * / 1 = 0 x 1 / '                                     e x p l o i t - o f f s e t 2 l i b - u b u n t u - 1 4 . 0 4 . 1 - L T S . p y   $   s e d   - i   ' s / ( O F F S E T _ S A V E D _ R I P ) . * = . * / 1 = 0 x 1 4 e / '                                     e x p l o i t - o f f s e t 2 l i b - u b u n t u - 1 4 . 0 4 . 1 - L T S . p y 运 行 运 行 e x p ： ： $   c h m o d   a + x   e x p l o i t - o f f s e t 2 l i b - u b u n t u - 1 4 . 0 4 . 1 - L T S . p y   $   . / e x p l o i t - o f f s e t 2 l i b - u b u n t u - 1 4 . 0 4 . 1 - L T S . p y   e x p l o i t - s e r v e r _ 6 4 _ P I E . p y   - s   < s e r v e r >   - p   < p o r t > $   . / e x p l o i t - o f f s e t 2 l i b - u b u n t u - 1 4 . 0 4 . 1 - L T S . p y   - s   l o c a l h o s t   - p   9 9 9 9 [ + ]   E x p l o i t   A S L R   6 4   b i t   s y s t e m s   [ + ]   T r y i n g   t o   f i n d   o u t   t h e   c a n a r y   o f f s e t         [ + ]   O f f s e t   i s   5 6   b y t e s [ + ]   B r u t e   f o r c i n g   s t a c k   c a n a r y         [ + ]   S S P   v a l u e   i s   0 x 6 0 e 0 7 9 2 a 5 2 3 e b 9 0 0 [ + ]   B r u t e   f o r c i n g   R B P         [ + ]   E B P   v a l u e   i s   0 x 0 0 0 0 7 f f f 0 e 7 9 d 1 6 0 [ + ]   B r u t e   f o r c i n g   S a v e d   R I P         [ + ]   R I P   v a l u e   i s   0 x 0 0 0 0 7 f 4 4 a 1 9 b 1 1 4 e [ + ]   T e x t   B a s e   a t   0 x 0 0 0 0 7 f 4 4 a 1 9 b 0 0 0 0 [ + ]   L i b c   B a s e   a t   0 x 0 0 0 0 7 f 4 4 a 1 3 c 0 0 0 0 [ + ]   G e t t i n g   s h e l l   . . . r o o t @ t e s t : / h o m e / t e s t   #   i d i d u i d = 0 ( r o o t )   g i d = 0 ( r o o t )   g r o u p s = 0 ( r o o t ) r o o t @ t e s t : / h o m e / t e s t   # 给 读 者 的 建 议 给 读 者 的 建 议
介 绍 下 漏 洞 的 一 些 解 决 方 案 和 应 用 环 境 。 1 . 利 用 利 用 P a X 补 丁 预 防 漏 洞 补 丁 预 防 漏 洞 在 众 多 安 全 解 决 方 案 中 ， 来 自 G R S e c u r i t y 社 区 的 P a X 补 丁 ， 它 将 可 执 行 文 件 放 置 在 与 其 他 共 享 对 象 相 关 的 随 机 地 址 上 。 P a X 定 义 了 四 个 变 量 计 算 的 随 机 值 ： d e l t a _ e x e c ： 代 码 段 ， 数 据 段 ， b s s 段 b r k ： 堆 d e l t a _ m m a p ： 库 ， 映 射 文 件 ， 线 程 栈 ， 共 享 内 存 d e l t a _ s t a c k ： 用 户 栈 P a x 解 决 方 案 也 会 提 高 这 些 随 机 值 的 信 息 量 ， 即 使 它 能 随 机 化 非 P I E 应 用 。 它 是 我 们 至 今 已 知 的 最 先 进 的 A S L R 实 现 方 案 。 然 而 ， 某 些 人 觉 得 它 作 为 补 丁 来 讲 太 复 杂 了 ， 比 如 其 存 在 大 量 冗 余 的 特 征 ， 其 中 某 些 会 破 坏 某 些 应 用 向 后 版 本 的 兼 容 性 。 2   利 用 利 用 A S L R v 3 抵 制 漏 洞 抵 制 漏 洞 为 了 避 免 o f f s e t 2 l i b 漏 洞 ， 可 执 行 文 件 应 该 被 定 位 到 一 个 与 库 文 件 不 同 的 随 机 位 置 。 我 们 为 L i n u x 3 . 1 8 - r c 7 打 上 了 补 丁 ， 由 四 个 不 同 的 随 机 值 实 现 ， 因 此 该 可 执 行 处 与 库 文 件 随 机 处 于 不 同 的 位 置 。 3 . 使 用 使 用 R e n e w S S P 阻 止 漏 洞 利 用 阻 止 漏 洞 利 用 使 用 P o C 能 成 功 利 用 栈 溢 出 攻 击 绕 过 A S L R 防 护 ， 但 是 黑 客 首 先 需 要 做 的 就 是 绕 过 S S P 。 如 果 S S P 保 护 都 没 有 绕 过 ， 这 个 P o C 就 废 了 。 有 一 项 名 为 r e n e w S S P 的 新 技 术 ， 可 以 用 来 暴 力 破 解 S S P 。 这 种 技 术 是 典 型 S S P 的 变 异 ， 关 键 的 密 文 会 在 程 序 的 重 要 位 置 动 态 更 新 ， 这 样 一 来 ， 密 文 会 刷 新 地 更 加 频 繁 。 S S P 值 会 在 每 个 进 程 阻 止 b y t e - f o r - b y t e 攻 击 时 更 新 。 这 种 技 术 并 不 会 占 用 太 多 资 源 ， 只 会 在 共 享 库 预 加 载 时 进 行 实 施 ， 其 开 销 几 乎 可 以 忽 略 不 计 。 以 下 视 频 给 我 们 展 示 了 如 何 使 用 以 下 视 频 给 我 们 展 示 了 如 何 使 用 R e n e w S S P 阻 止 这 样 的 攻 击 ： 阻 止 这 样 的 攻 击 ： 【 请 点 击 最 下 方 的 “ 阅 读 全 文 ” 】 源 站 视 频 地 址 ： h t t p : / / r e n e w s s p . c o m / d a t a / r e n e w s s p . m p 4 水 平 有 限 ， 如 有 描 述 不 当 之 处 ， 请 大 家 不 吝 赐 教 。 [ 参 考 来 源 参 考 来 源 c y b e r s e c u r i t y ， ， s o l i d o t ， ， i n s i g h t - l a b s ， 由 ， 由 F r e e B u f 小 编 小 编 d a w n e r 翻 译 整 理 ， 转 载 请 注 明 来 自 翻 译 整 理 ， 转 载 请 注 明 来 自 F r e e B u f . C O M ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理