Linux (x86) Exploit 开发系列教程之二(整数溢出)

（1）漏洞代码

//vuln.c

#include <stdio.h>

#include <string.h>

#include <stdlib.h>

void store_passwd_indb（char * passwd）{

}

void validate_uname（char * uname）{

}

void validate_passwd（char * passwd）{

 char passwd_buf [11];

 unsigned char passwd_len = strlen（passwd）; / * [1] * /

 if（passwd_len> = 4 && passwd_len <= 8）{/ * [2] * /

  printf（“有效密码\ n”）; / * [3] * /

  fflush（stdout）;

  strcpy（passwd_buf，passwd）; / * [4] * /

 } else {

  printf（“Invalid Password \ n”）; / * [5] * /

  fflush（stdout）;

 }

 store_passwd_indb（passwd_buf）; / * [6] * /

}

int main（int argc，char * argv []）{

 if（argc！= 3）{

  printf（“Usage Error：\ n”）;

  fflush（stdout）;

  退出（-1）;

 }

 validate_uname（argv [1]）;

 validate_passwd（argv [2]）;

 返回0;

}

（2）编译文件

sudo sh -c "echo 0> / proc / sys / kernel / randomize_va_space"

 gcc -g -fno-stack-protector -z execstack -o vuln vuln.c

 sudo chown root vuln

 sudo chgrp root vuln

 sudo chmod + s vuln

（3）原理：

上述漏洞代码的[1]行显示了一个整数溢出错误。strlen（）的返回类型是size_t（unsigned int），它存储在unsigned char数据类型中。因此，任何大于unsigned char的最大支持值（255）的值都会导致整数溢出。因此当密码长度为261时，261将被包裹并存储为“passwd_len”变量中的5！由于这个整数溢出，可以绕过行[2]执行的边界检查，从而导致基于堆栈的缓冲区溢出！

（4）反汇编并绘制出漏洞代码的堆栈布局

gdb-peda$ disassemble validate_passwd

Dump of assembler code for function validate_passwd:

   0x0804849e <+0>:	push   ebp

   0x0804849f <+1>:	mov    ebp,esp

   0x080484a1 <+3>:	push   edi

   0x080484a2 <+4>:	sub    esp,0x34

   0x080484a5 <+7>:	mov    eax,DWORD PTR [ebp+0x8]

   0x080484a8 <+10>:	mov    DWORD PTR [ebp-0x1c],0xffffffff

   0x080484af <+17>:	mov    edx,eax

   0x080484b1 <+19>:	mov    eax,0x0

   0x080484b6 <+24>:	mov    ecx,DWORD PTR [ebp-0x1c]

   0x080484b9 <+27>:	mov    edi,edx

   0x080484bb <+29>:	repnz scas al,BYTE PTR es:[edi]

   0x080484bd <+31>:	mov    eax,ecx

   0x080484bf <+33>:	not    eax

   0x080484c1 <+35>:	sub    eax,0x1

   0x080484c4 <+38>:	mov    BYTE PTR [ebp-0x9],al

   0x080484c7 <+41>:	cmp    BYTE PTR [ebp-0x9],0x3

   0x080484cb <+45>:	jbe    0x8048500 <validate_passwd+98>

   0x080484cd <+47>:	cmp    BYTE PTR [ebp-0x9],0x8

   0x080484d1 <+51>:	ja     0x8048500 <validate_passwd+98>

   0x080484d3 <+53>:	mov    DWORD PTR [esp],0x8048660

   0x080484da <+60>:	call   0x80483a0 <puts@plt>

   0x080484df <+65>:	mov    eax,ds:0x804a020

   0x080484e4 <+70>:	mov    DWORD PTR [esp],eax

   0x080484e7 <+73>:	call   0x8048380 <fflush@plt>

   0x080484ec <+78>:	mov    eax,DWORD PTR [ebp+0x8]

   0x080484ef <+81>:	mov    DWORD PTR [esp+0x4],eax

   0x080484f3 <+85>:	lea    eax,[ebp-0x14]

   0x080484f6 <+88>:	mov    DWORD PTR [esp],eax

   0x080484f9 <+91>:	call   0x8048390 <strcpy@plt>

   0x080484fe <+96>:	jmp    0x8048519 <validate_passwd+123>

   0x08048500 <+98>:	mov    DWORD PTR [esp],0x804866f

   0x08048507 <+105>:	call   0x80483a0 <puts@plt>

   0x0804850c <+110>:	mov    eax,ds:0x804a020

   0x08048511 <+115>:	mov    DWORD PTR [esp],eax

   0x08048514 <+118>:	call   0x8048380 <fflush@plt>

   0x08048519 <+123>:	lea    eax,[ebp-0x14]

   0x0804851c <+126>:	mov    DWORD PTR [esp],eax

   0x0804851f <+129>:	call   0x8048494 <store_passwd_indb>

   0x08048524 <+134>:	add    esp,0x34

   0x08048527 <+137>:	pop    edi

   0x08048528 <+138>:	pop    ebp

   0x08048529 <+139>:	ret

End of assembler dump.

（5）当输入长度为261的密码，可以绕过边界检查，并允许我们覆盖堆栈中的返回地址。测试：

EBP、EIP被覆盖为四个A

（6）堆栈布局显示返回地址位于缓冲区'passwd_buf'的偏移（0x18）处。0x18计算如下：0xb+0x1+0x4+0x4+0x4,因此当用户输入“A” * 24 + “B” * 4 + “C” * 233，以A覆盖passwd_buf，passwd_len，对齐空间，edi和调用者的ebp，以“BBBB”覆盖返回地址，以"C"覆盖剩余空间.

（6）找出shellcode的起始地址。ret_addr可以选择100个NOP里。

攻击代码如下：

运行，获取到root shell权限

巴特西

Linux (x86) Exploit 开发系列教程之二(整数溢出)

最新文章

热门文章