【南方科技大学】CS315 Computer Security 【Lab2 Buffer Overflow】

news2024/9/19 1:13:26

目录

  • 引言
  • 软件要求
  • 启动虚拟机
  • 环境设置
  • 禁用地址空间布局随机化（ASLR）
    • 设置编译器标志以禁用安全功能
  • 概述
    • BOF.c
    • testShellCode.c
      • 解释
    • createBadfile.c
  • 开始利用漏洞
    • 在堆栈上查找返回地址
  • 实验2的作业

之前有写过一个 博客，大家可以先看看栈溢出基础。

引言

在本实验中，您将了解如何利用缓冲区溢出和其他内存漏洞来接管易受攻击的程序。目标是研究我提供的程序，然后弄清楚如何使用它来获得对系统的 shell 访问权限。 1996 年，Aleph One 写了一篇关于粉碎堆栈的规范论文。您应该阅读本文，因为它详细描述了堆栈粉碎的工作原理。如今，许多编译器和操作系统已经实现了安全功能，可以阻止本文中描述的攻击。然而，它仍然为新的攻击和（特别是）这个实验室作业提供了非常相关的背景。

Aleph One: Smashing the Stack for Fun and Profit

Another (long) description of Buffer Overflows is here

软件要求

所有必需的文件和源代码都打包在提供的 Lab 2 虚拟机中。

The VMWare Software

https://www.vmware.com/

The VirtualBox Software

https://www.virtualbox.org/wiki/Downloads

https://www.vmware.com/support/developer/ovf/

https://www.mylearning.be/2017/12/convert-a-vmware-fusion-virtualmachine-to-virtualbox-on-mac/

The Kali Linux, Penetration Testing Distribution

GDB: The GNU Project Debugger

GCC, the GNU Compiler Collection

C source file including BOF.c, createBadfile.c, and testShellCode.c

启动虚拟机

Kali Linux VM 具有所有必需的文件。为此实验选择名为 Lab2BufferOverflows 的 VM。
在这里插入图片描述
使用用户名 root 和密码 [课堂上待定] 登录 Kali Linux。

在 Kali Linux 中，您应该能够看到一个名为 Lab2-BufferOverflows 的文件夹。该文件包含实验 2 的所有源代码。

在这里插入图片描述

环境设置

当前的编译器和操作系统中有许多保护措施可以阻止堆栈攻击，就像我们想要做的那样。我们必须禁用一些安全选项才能允许漏洞利用（请注意，您获得的虚拟机映像已配置环境）。

禁用地址空间布局随机化（ASLR）

地址空间布局随机化 (ASLR) 是当今大多数操作系统中使用的安全功能。 ASLR随机排列进程的地址空间，包括栈、堆和库。它提供了一种使利用难以成功的机制。您可以使用 /proc/sys/kernel/randomize_va_space 接口在 Linux 中配置 ASLR。支持以下值：

0 – No randomization

1 – Conservative randomization

2 – Full randomization Disable ASLR, run:

$ echo 0 > /proc/sys/kernel/randomize_va_space Enable ASLR, run:

$ echo 2 > /proc/sys/kernel/randomize_va_space

请注意，您需要 root 权限才能配置该接口。使用vi修改界面可能会出现错误。下面的屏幕截图显示了 /proc/sys/kernel/randomize_va_space 的值。

但是，此配置在重新启动后将无法保留。您必须在 sysctl 中进行配置。添加文件 /etc/sysctl.d/01-disable-aslr.conf 包含：

kernel.randomize_va_space = 0

这将永久禁用 ASLR。

下面的屏幕截图显示了 ASLR 配置。您可以打开一个终端并尝试一下。

在这里插入图片描述

设置编译器标志以禁用安全功能

当您使用 gcc 编译易受攻击的程序（在下一节中解释）时，请使用以下编译器标志来禁用安全功能。

-z execstack

关闭NX保护使堆栈可执行

-fno-stack-proector

删除检测堆栈粉碎漏洞的 StackGuard

-g

启用调试符号

概述

该漏洞利用的目的是教您缓冲区溢出是如何工作的。您必须通过将恶意输入传递到易受攻击的程序来获得 shell。该漏洞将名为“badfile”的文件作为输入。您的工作是创建一个错误文件，导致易受攻击的程序生成 shell。请注意，即使您的 shellcode 移动了几个字节，您也有一个 nop sled 来使漏洞发挥作用。在 Lab2BufferOverflows 文件夹中，它包含您需要使用的 C 文件。下面的屏幕截图表明了这一点。
在这里插入图片描述

BOF.c

在 BOF.c 中，有一个无界 strcpy，这意味着任何非 null 终止的内容都将覆盖缓冲区边界，并（希望）将一些信息放入您将设计的堆栈中。您的漏洞必须适用于我的 BOF.c 版本（不需要更改它以使您的代码正常工作）。

在这里插入图片描述
要编译 BOF.c，您需要添加提到的编译标志。

$ gcc –g –z execstack –fno-stack-protector BOF.c –o BOF

在这里插入图片描述

testShellCode.c

该程序只是让您测试 shell 代码本身。您可以找到或创建许多不同的“shell 代码”，这是了解它们的作用以及它们是否适合您（在您的操作系统上）的好方法。

您使用的实际 shellcode 只是此 C 代码的汇编版本：

#include <stdio.h> 
int main( ) 
{ 
	char *name[2]; 
	name[0] = "/bin/sh"; 
	name[1] = NULL; 
	execve(name[0], name, NULL); 
}

在这里插入图片描述

解释

这段代码是一个简单的C程序，它定义了一个shellcode并直接执行它。这个shellcode的目的是启动一个shell。

const char code[] = \
"\x31\xc0"         /* Line 1:  xorl    %eax,%eax             */
"\x50"             /* Line 2:  pushl   %eax                 */
"\x68""//sh"       /* Line 3:  pushl   $0x68732f2f          */
"\x68""/bin"       /* Line 4:  pushl   $0x6e69622f          */
"\x89\xe3"         /* Line 5:  movl    %esp,%ebx            */
"\x50"             /* Line 6:  pushl   %eax                 */
"\x53"             /* Line 7:  pushl   %ebx                 */
"\x89\xe1"         /* Line 8:  movl    %esp,%ecx            */
"\x99"             /* Line 9:  cdql                       */
"\xb0\x0b"         /* Line 10: movb    $0x0b,%al           */
"\xcd\x80"         /* Line 11: int     $0x80               */
;

Line 1-2: 将EAX寄存器清零，并将EAX的值压入栈中，为系统调用创建一个参数（在x86架构中，系统调用的编号在AL寄存器中）。

Line 3-4: 将字符串//sh和/bin压入栈中，它们将构成/bin//sh的字符串，这是启动shell的命令。

Line 5: 将ESP（栈指针）的值复制到EBX寄存器，为系统调用准备它的第二个参数（指向命令字符串的指针）。

Line 6-7: 再次将EAX的值压入栈中，并将EBX的值压入栈中，为系统调用准备它的第三个和第四个参数（指向环境变量的指针和指向参数的指针）。

Line 8: 将ESP的值复制到ECX寄存器，为系统调用准备第一个参数（指向文件路径的指针）。

Line 9: 将EAX寄存器的值符号扩展到EDX:EAX，为系统调用准备。

Line 10-11: 将系统调用号（execve，即0x0B）加载到AL寄存器，并触发中断，执行系统调用。

int main(int argc, char ** argv) {
  int (*func)();
  func = (int (*)()) code;
  (int)(*func)();
  return 0;
}

main 函数中，定义了一个函数指针 func 并将其指向 code（即shellcode）。

通过调用 func 来执行shellcode。

程序返回0，表示正常退出。

createBadfile.c

该程序写出“badfile”，但目前它只是充满了 nops（无操作）。您需要修改它以将您的 shell 代码放入其中并导致代码跳转到 shellcode。 badfile 中已经包含的 shellcode（作为字符数组）确实可以工作。您不需要修改它，但欢迎您这样做。

在这里插入图片描述
要编译 testShellCode.c 和 createBadfile.c，您不需要添加前面提到的编译标志。你可以简单地用gcc编译它
在这里插入图片描述

开始利用漏洞

整个攻击流程：

使用 createBadfile.c 创建包含NOP sled和shellcode的 “badfile” 文件。

使用 BOF.c 程序读取 “badfile” 文件内容到 aString 缓冲区。

bufferOverflow 函数中的 strcpy 操作导致缓冲区溢出，覆盖了返回地址。

当 bufferOverflow 函数返回时，控制流跳转到NOP sled，然后滑落到shellcode。

Shellcode被执行，启动一个shell。

该实验确实面临两个挑战。要执行 shellcode，您需要覆盖 bufferOverflow() 函数中的返回地址。您必须使该函数的返回地址指向您的 shellcode。

  1. 你需要找出返回地址存储在哪个内存地址。

  2. 然后你需要找出你的shellcode在内存中的地址，并将shellcode的地址写入你在步骤1中找到的返回地址。

我将为您提供有关步骤 1 的一些提示。

在堆栈上查找返回地址

为了找到堆栈上的返回地址，我们首先使用 GDB（GNU 项目调试器）来查看汇编代码。您可以从这里 找到有关 GDB 的更多信息。请注意，您还可以使用工具 objdump 来读取汇编代码。

$ gdb BOF

在这里插入图片描述
首先，我们反汇编BOF程序的main()函数。我们在 main() 函数中找到了 bufferOverflow() 函数（在 GDB 中输入 disas main）。然后，我们反汇编了 bufferOverflow() 函数，该函数存在漏洞。

$ (gdb) disas main

$ (gdb) disas bufferOverflow

在这里插入图片描述
您需要了解汇编代码才能找到返回地址在堆栈上的位置。接下来，在 GDB 中输入 run 来执行 BOF 程序。

$ (gdb) run

在这里插入图片描述

正如我们所预料的，BOF 程序生成了一个异常，即分段错误。指令指针（EIP）是0x90909090。这是因为我们在 BOF 程序中的缓冲区溢出的 badfile 上放置了 NOP sled。

您还可以通过在GDB中执行info register来查看更多寄存器信息

$ (gdb) info register

在这里插入图片描述
请注意，您始终可以在 GDB 中键入帮助来学习命令。

实验2的作业

一个 zip 文件包含：

  1. 更新后的 createBadfile.c，用于生成 BOF 程序的输入。

  2. badfile 的副本。当 BOF 从 VM 中的命令行运行时，必须生成 shell

  3. 使用 BOF 程序获取 shell 的屏幕截图（参见下面的简单屏幕截图）

  4. 包含以下问题答案的文本文件：

a. 当你在没有“-z execstack”的情况下编译时会发生什么？
【如果不使用-z execstack选项，gcc编译器默认会启用NX（No eXecute）保护，这意味着栈是不可执行的。在这个程序中，shellcode存储在栈上，由于栈被标记为可写的，它不能被执行。因此，当程序尝试执行shellcode时，会因为尝试在非可执行段（栈）中执行代码而崩溃并引发段错误。】

b.如果启用 ASLR 会发生什么？返回地址有变化吗？
【ASLR（Address Space Layout Randomization）的意思是操作系统将帮助随机化程序的虚拟内存地址，例如栈、堆、动态库以及程序本身的地址。不同版本的操作系统会以不同的方式实现ASLR。如果程序没有被编译为位置无关可执行文件（PIE），程序本身的地址将不会被随机化。在实验中，如果没有使用-fno-pie禁用PIE，那么程序本身的地址将会被随机化，返回地址也会随之改变。】

c.当您使用 GDB、/home/root/Desktop/Lab2-BufferOverflows/BOF 和 ./BOF 运行 BOF 时，内存中 buffer[] 的地址是否会发生变化？
【是的，buffer[]在内存中的地址会改变。程序的入口并不是main函数，main函数是在__libc_start_main函数中被调用的，而__libc_start_main是在_start函数中被调用的。由于函数调用，argc、argv、envp等都会被压入栈中。argv[0]在不同的运行环境下可能会有所不同，而且GDB和不同shell之间的环境变量也可能不同。GDB启动时默认会使用绝对路径运行，因此压入栈中的内容也不一样，导致栈上数据的地址也不一样。解决这个问题的一种方法是在相同的环境变量下运行生成badfile的程序，这样就可以自动计算出栈上数据的偏移。此外，如果远程环境未知，也可以通过栈喷射等技术来解决。在本例中，由于使用strcpy进行溢出，ROP技术的使用受到限制（需要避免0字节），但仍然可以构造puts ROP来泄露libc基址，然后修改badfile直接攻击libc的Offset。】

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/2140769.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Qt ORM模块使用说明

Qt ORM模块使用说明

附源码&#xff1a;QxOrm是一个C库资源-CSDN文库 使用说明 把QyOrm文件夹拷贝到自己的工程项目下, 在自己项目里的Pro文件里添加include($$PWD/QyOrm/QyOrm.pri)就能使用了 示例test_qyorm.h写了表的定义,Test_QyOrm_Main.cpp中写了所有支持的功能的例子: 通过自动表单添加…
阅读更多...
C++——异常处理机制（try/catch/throw）

C++——异常处理机制（try/catch/throw）

一、什么是异常处理机制 C++中的异常处理机制是一种用来检测和处理程序执行期间可能存在的异常情况的技术。它允许开发者编写健壮的代码，能够提前预判和处理程序执行可能会出现的错误，保证程序正常执行，而不会导致程序崩溃。 C++异常处理主要由几个关键字组成： try、cat…
阅读更多...
C++笔记之std::map的实用操作

C++笔记之std::map的实用操作

C++笔记之std::map的实用操作 code review 文章目录 C++笔记之std::map的实用操作1.初始化1.1.使用列表初始化1.2.使用 `insert` 方法1.3.使用 `emplace` 方法1.4.复制构造1.5.移动构造2.赋值2.1.列表赋值2.2.插入元素2.3.批量插入3.取值3.1.使用 `[]` 操作符3.2.使用 `at()` …
阅读更多...
Vue路由配置、网络请求访问框架项目、element组件介绍学习

Vue路由配置、网络请求访问框架项目、element组件介绍学习

系列文章目录 第一章 基础知识、数据类型学习 第二章 万年历项目 第三章 代码逻辑训练习题 第四章 方法、数组学习 第五章 图书管理系统项目 第六章 面向对象编程&#xff1a;封装、继承、多态学习 第七章 封装继承多态习题 第八章 常用类、包装类、异常处理机制学习 第九章 集…
阅读更多...
回归预测|基于开普勒优化相关向量机的数据回归预测Matlab程序KOA-RVM 多特征输入单输出 含基础RVM

回归预测|基于开普勒优化相关向量机的数据回归预测Matlab程序KOA-RVM 多特征输入单输出 含基础RVM

回归预测|基于开普勒优化相关向量机的数据回归预测Matlab程序KOA-RVM 多特征输入单输出 含基础RVM 文章目录 一、基本原理1. **相关向量机&#xff08;RVM&#xff09;**2. **开普勒优化算法&#xff08;KOA&#xff09;**3. **KOA-RVM回归预测模型**总结 二、实验结果三、核心…
阅读更多...
k8s集群备份与迁移

k8s集群备份与迁移

什么是 Velero? Velero 是一个用Go语言开发的开源工具&#xff0c;用于 Kubernetes 集群的备份、恢复、灾难恢复和迁移。 Velero备份工作流程 当用户发起velero backup create时&#xff0c;会执行如下四个动作&#xff1a; velero客户端调用Kubernetes API创建自定义资源并…
阅读更多...
启动windows更新/停止windows更新，在配置更新中关闭自动更新的方法

启动windows更新/停止windows更新，在配置更新中关闭自动更新的方法

在Windows操作系统中&#xff0c;启动或停止Windows更新&#xff0c;以及调整“配置更新”的关闭方法&#xff0c;涉及多种途径&#xff0c;这里将详细阐述几种常用的专业方法。 启动Windows更新 1.通过Windows服务管理器&#xff1a; -打开“运行”对话框&#xff08;…
阅读更多...
15. 三数之和（实际是双指针类型的题目）

15. 三数之和（实际是双指针类型的题目）

15. 三数之和 15. 三数之和 给你一个整数数组 nums &#xff0c;判断是否存在三元组 [nums[i], nums[j], nums[k]] 满足 i ! j、i ! k 且 j ! k &#xff0c;同时还满足 nums[i] nums[j] nums[k] 0 。请你返回所有和为 0 且不重复的三元组。 注意&#xff1a;答案中不可以…
阅读更多...
Uniapp的alertDialog返回值+async/await处理确定/取消问题

Uniapp的alertDialog返回值+async/await处理确定/取消问题

今天在使用uniui的alertDialog时&#xff0c;想添加一个确定/取消的警告框时 发现alertDialog和下面的处理同步进行了&#xff0c;没有等待alaertDialog处理完才进行 查询后发现问题在于 await 关键字虽然被用来等待 alertDialog.value.open() 的完成&#xff0c;但是 alertDi…
阅读更多...
Android中的冷启动，热启动和温启动

Android中的冷启动，热启动和温启动

在App启动方式中分为三种&#xff1a;冷启动&#xff08;cold start&#xff09;、热启动&#xff08;hot start&#xff09;、温启动&#xff08;warm start&#xff09; 冷启动&#xff1a; 系统不存在App进程&#xff08;App首次启动或者App被完全杀死&#xff09;时启动A…
阅读更多...
使用 GaLore 预训练LLaMA-7B

使用 GaLore 预训练LLaMA-7B

项目代码&#xff1a; https://github.com/jiaweizzhao/galorehttps://github.com/jiaweizzhao/galore 参考博客&#xff1a; https://zhuanlan.zhihu.com/p/686686751 创建环境 基础环境配置如下&#xff1a; 操作系统: CentOS 7CPUs: 单个节点具有 1TB 内存的 Intel CP…
阅读更多...
F12抓包11：UI自动化 - Recoder（记录器）

F12抓包11：UI自动化 - Recoder（记录器）

课程大纲 使用场景&#xff08;导入和导出&#xff09;: ① 测试的重复性工作&#xff0c;本浏览器录制并进行replay&#xff1b; ② 导入/导出录制脚本&#xff0c;移植后replay&#xff1b; ③ 导出给开发进行replay复现bug&#xff1b; ④ 进行前端性能分析。 1、录制脚…
阅读更多...
kubernetes 学习 尚硅谷

kubernetes 学习 尚硅谷

出自 https://www.bilibili.com/video/BV13Q4y1C7hS 相关命令 kubeadm init &#xff1a;将当前节点创建为主节点 kubectl get nodes&#xff1a;获取集群所有节点 kubectl apply -f xxx.yaml&#xff1a;根据配置文件&#xff0c;给集群创建资源 kubectl delete -f xx.yaml&…
阅读更多...
【C++】模板进阶：深入解析模板特化

【C++】模板进阶：深入解析模板特化

C语法相关知识点可以通过点击以下链接进行学习一起加油&#xff01;命名空间缺省参数与函数重载C相关特性类和对象-上篇类和对象-中篇类和对象-下篇日期类C/C内存管理模板初阶String使用String模拟实现Vector使用及其模拟实现List使用及其模拟实现容器适配器Stack与Queue 本章将…
阅读更多...
判断关系模式的无损连接（表格法）

判断关系模式的无损连接（表格法）

目录 前言 一、什么是无损连接&#xff1f; 二、如何判断无损连接&#xff1f; 1.表格法 2.示例题 D选项构造初始的判断表如下&#xff1a; 总结 前言 在数据库设计中&#xff0c;确保数据的完整性和有效性是至关重要的。在关系数据库中&#xff0c;函数依赖和无损连接是…
阅读更多...
docker|Oracle数据库|docker快速部署Oracle11g和数据库的持久化（可用于生产环境）

docker|Oracle数据库|docker快速部署Oracle11g和数据库的持久化（可用于生产环境）

一、 容器数据持久化的概念 docker做为容器化的领先技术&#xff0c;现在广泛应用于各个平台中&#xff0c;但不知道什么时候有一个说法是docker并不适用容器化数据库&#xff0c;说容器化的数据库性能不稳定&#xff0c;其实&#xff0c;这个说法主要是因为对docker的数据持…
阅读更多...
零基础5分钟上手亚马逊云科技-利用API网关管理API

零基础5分钟上手亚马逊云科技-利用API网关管理API

简介 欢迎来到小李哥全新亚马逊云科技AWS云计算知识学习系列&#xff0c;适用于任何无云计算或者亚马逊云科技技术背景的开发者&#xff0c;通过这篇文章大家零基础5分钟就能完全学会亚马逊云科技一个经典的服务开发架构方案。 我会每天介绍一个基于亚马逊云科技AWS云计算平台…
阅读更多...
C语言 ——— 编写代码，将一个长整数用逗号隔开，每3位一个逗号，并输出打印

C语言 ——— 编写代码，将一个长整数用逗号隔开，每3位一个逗号，并输出打印

目录 题目要求 代码实现 题目要求 对于一个较大的整数 N (1 < N < 2,000,000,000) &#xff0c;将 N 每个 3 位加上一个逗号&#xff0c;并且最后输出打印 举例说明&#xff1a; 输入&#xff1a;1980364535 输出&#xff1a;1,980,364,535 代码实现 代码演示&#…
阅读更多...
详解JUC

详解JUC

Java并发工具包&#xff08;Java Util Concurrent&#xff0c; 简称JUC&#xff09;是Java提供的一组用于简化多线程编程的类和接口&#xff0c;它包含了用于线程同步、并发数据结构、线程池、锁、原子操作以及其他并发实用工具的丰富集合。 1. 线程池 线程池是 Java 并发编程…
阅读更多...
【Go】Go语言中的数组基本语法与应用实战

【Go】Go语言中的数组基本语法与应用实战

✨✨ 欢迎大家来到景天科技苑✨✨ &#x1f388;&#x1f388; 养成好习惯&#xff0c;先赞后看哦~&#x1f388;&#x1f388; &#x1f3c6; 作者简介&#xff1a;景天科技苑 &#x1f3c6;《头衔》&#xff1a;大厂架构师&#xff0c;华为云开发者社区专家博主&#xff0c;…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023