缓冲区溢出攻击实验.docxVIP

HUNAN UNIVERSITY课程实验报告题 目： Buflab-handout 学生姓名 学生学号 专业班级 计科1403 实验环境联想ThinkPadE540 VM虚拟机ubuntu32位操作系统实验准备使用tar xvf命令解压文件后，会有3个可执行的二进制文件bufbomb，hex2raw，makecookie。bufbomb运行时会进入getbuf函数，其中通过调用Gets函数读取字符串。要求在已知缓冲区大小的情况下对输入的字符串进行定制完成特定溢出操作。从给的PDF文件中我们得知getbuf函数为：/ /Buffer size for getbuf #define NORMAL_BUFFER_SIZE 32 int getbuf() { char buf[NORMAL_BUFFER_SIZE]; Gets(buf); return 1; }这个函数的漏洞在于宏定义的缓冲区的大小为32，若输入的字符串长于31（字符串末尾结束符）则会导致数据的覆盖，从而导致一系列损失；在此实验中，我们正是利用这个漏洞来完成实验。hex2raw可执行文件就是将给定的16进制的数转成二进制字节数据。Makecookie是产生一个userid。输入的相应的用户名产生相应的cookie值。**我产生的cookie值为0x5eb52e1c，如下图所示：Level0:实验要求：从英文的PDF文件中的“Your task is to get BUFBOMB to execute the code for smoke when getbuf executes its return statement,rather than returning to test. Note that your exploit string may also corrupt parts of the stack not directly related to this stage, but this will not cause a problem, since smoke causes the program to exit directly.”这句话看出实验让我们在test运行完后，不直接退出，而是跳到smoke函数处执行然后退出，这点很重要！（本人之前一直没有成功就是错在这儿）Test源码：void test(){int val;// Put canary on stack to detect possible corruptionvolatile int local = uniqueval();val = getbuf();// Check for corrupted stackif (local != uniqueval()) { printf(Sabotaged!: the stack has been corrupted\n); } else if (val == cookie) { printf(Boom!: getbuf returned 0x%x\n, val); validate(3); } else { printf(Dud: getbuf returned 0x%x\n, val); }}smoke源码:void smoke(){printf(Smoke!: You called smoke()\n);validate(0);exit(0);}对bufbomb函数进行反汇编并获取getbuf函数的反汇编代码：从上面的汇编代码中我们可以得知，lea指令把buf的指针地址(-0x28(%ebp))传给了Gets()。画出栈结构为(为绘制图简单，我们将相应的地址直接写在栈内部，如ebp-4写在方框中，实际上应当是这个地址指向这块内存区域，接下来的绘图都将采用这种方式)：getbuf返回地址ebp的值ebp - 4ebp - 8ebp - c……ebp - 28……ebp-38易知(ebp – 28)距离getbuf函数的返回地址之间有44个字节，我们只需要在将getbuf返回地址的字修改为smoke函数的入口地址，这样我们就可以在执行完getbuf函数之后执行smoke函数。我们通过反汇编得到smoke函数的入口地址为0x08048e0a:我们构造文件a.txt,里面存放数据为（本人电脑为小端机，这里需要的也是小端）：31 31 31 31 31 31 31 31 31 31 31 31 31 31 31 31 31 31 31 3132 32 32 32 32 32 32 32 32 32 32 32 32 32 32 32 32 32 32 3233 33 33 33 0b 8e 04 08之所以将0