3

Есть код на с

#include <stdio.h>
#include <string.h>
#include <stdlib.h>

// Compilation parameters
// gcc -m32 -fno-stack-protector -Wl,-z,norelro -z execstack binary_exploitation.c -o binary_exploitation

int main(int argc, char * argv[]) {
    char buf[128];
    char s[1024];

    if (read(0, s, 1024) != 0) {
        strcpy(buf, s);
        printf("%s", buf);
    }

    return 0;
}

И есть дамп этого кода

(gdb) disas main
Dump of assembler code for function main:
0x0804845b <+0>: lea 0x4(%esp),%ecx
0x0804845f <+4>: and $0xfffffff0,%esp
0x08048462 <+7>: pushl -0x4(%ecx)
0x08048465 <+10>: push %ebp
0x08048466 <+11>: mov %esp,%ebp
0x08048468 <+13>: push %ecx
0x08048469 <+14>: sub $0x484,%esp
0x0804846f <+20>: sub $0x4,%esp
0x08048472 <+23>: push $0x400
0x08048477 <+28>: lea -0x488(%ebp),%eax
0x0804847d <+34>: push %eax
0x0804847e <+35>: push $0x0
0x08048480 <+37>: call 0x8048310 <read@plt>
0x08048485 <+42>: add $0x10,%esp
0x08048488 <+45>: test %eax,%eax
0x0804848a <+47>: je 0x80484bc <main+97>
0x0804848c <+49>: sub $0x8,%esp
0x0804848f <+52>: lea -0x488(%ebp),%eax
0x08048495 <+58>: push %eax
0x08048496 <+59>: lea -0x88(%ebp),%eax
0x0804849c <+65>: push %eax
0x0804849d <+66>: call 0x8048330 <strcpy@plt>
0x080484a2 <+71>: add $0x10,%esp
0x080484a5 <+74>: sub $0x8,%esp
0x080484a8 <+77>: lea -0x88(%ebp),%eax
0x080484ae <+83>: push %eax
0x080484af <+84>: push $0x8048560
0x080484b4 <+89>: call 0x8048320 <printf@plt>
0x080484b9 <+94>: add $0x10,%esp
0x080484bc <+97>: mov $0x0,%eax
0x080484c1 <+102>: mov -0x4(%ebp),%ecx
0x080484c4 <+105>: leave 
0x080484c5 <+106>: lea -0x4(%ecx),%esp
0x080484c8 <+109>: ret 

Какая должна быть структура эксплойта, чтобы успешно провести атаку? SIGSEGV при длине входных данных от 137 символов. Пытался как обычно сделать кучу NOPов, шеллкод и адрес возврата, но eip адресом возврата перезаписать не получается. Поэтому здесь либо структура эксплойта не такая, либо адрес возврата не тот. Пытался все делать в gdb на kali linux x32. ASLR выключен.

4
  • Банальный пример, не из жизни. А Вы действительно думаете, что на SO такой вопрос задержится? В смысле, знания о том, как работают эксплойты конечно полезно, особенно в целях защиты от них же, но не уверен, что в таком формате подобные вопросы легальны на SO.
    – mega
    20 окт 2015 в 19:21
  • @mega А почему не должен продержаться? Банальным этот пример бы был, если бы eip можно было бы просто переписать. А если работать только с ebp - тут уже все не так просто. Да и туториалов я не нашёл на эту тему(с eip куча, а в таком формате вообще нет)
    – desu
    20 окт 2015 в 19:39
  • Банальность в том, что эксплойт можно загрузить разом в такой большой буфер. А сложность в том, что в стеке лежит не только адрес возврата, но и адрес вершины стека, который будет загружен в esp перед возвратом. Он должен остаться корректным, т.е. эксплойт должен знать еще и адрес стека, чтобы переписать адрес возврата. Думаю, SIGSEGV тут скорее всего не на запись в буфер, а на ret, который читает неизвестно откуда после неправильного восстановления вершины стека.
    – mega
    20 окт 2015 в 20:43
  • @mega Да, все верно. Эксплойт для gdb я уже написал, сейчас вот пытаюсь сделать эксплойт для выполнения без gdb
    – desu
    20 окт 2015 в 21:55

1 ответ 1

2

У эксплойта будет такая структура адрес-1(откуда начинать выполнение) - начало записи + 4 байта(длина адреса-1) NOPы 132(всего для перезаписи) - 4(адрес-1) - длина(шелл-кода) Шелл-код адрес-2 - адрес адреса-1(начало записи в стек)

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.