栈溢出入门系列-临近变量淹没

释放双眼,带上耳机,听听看~!

《Web安全攻防》配套视频 之 Union注入攻击及代码分析

《Web安全攻防-渗透测试实战指南》配套视频 第十一期 本期视频内容对应图书 第4章  Web安全原理剖析 4.1 SQL注入的基础 4.1.4 Union注入攻击 4.1.5 Union注入注入代码分析 如果学习有疑问, 可以登录官网: https://www.ms08067.com 书籍介绍 《Web安全攻防-

本文作者:rkvir(Ms08067实验室合伙人&二进制小组组长)

人才招募:二进制小组寻找二进制领域志同道合的朋友


一. 实验环境:

操作系统

Windows XP SP3

开发环境

VC++ 6.0

调试器

Ollydbg

 

二. 实验代码:

#include <stdio.h>

#include<string.h>

 

#define PASSWORD “1234567”

 

int verify_password (char *password)

{

int authenticated;

char buffer[8];

authenticated=strcmp(password,PASSWORD);

strcpy(buffer,password);

return authenticated;

}

 

 

main()

{

int valid_flag=0;

char password[1024];

while(1)

{

printf(“please input password:       “);

scanf(“%s”,password);

valid_flag = verify_password(password);

if(valid_flag)

{

printf(“incorrect password!\n\n”);

}

else

{

printf(“Congratulation! You have passed the verification!\n”);

break;

}

}

}

 

 

 

三. 溢出原理

程序未对输入的密码进行长度检测,接收密码的缓冲区只有8,而输入的密码最长可以输入1024。判断密码是否正确的变量authenticated存储在栈中,当输入的密码长度大于8时,输入的字符串将冲破缓冲区,淹没authenticated所处的位置。当密码错误时authenticated的值是1,正确的时候authenticated的值是0.这就意味着我们可以构造一个合适的输入字符串来改变判断结果。

 

四. 实战调试

我们的重点不是逆向工程,而是漏洞分析,故此不再详诉诸如寻找main函数等逆向知识。

1.jmp mai下断点,方便后续反复调试

2. 单步步入main函数分析程序

3. 分析main函数逻辑,可以看出主要问题出在密码比对函数00401005

RPO漏洞深入剖析与利用

简介 PRO的全称为“Relative Path Overwrite”,也就是相对路径覆盖。利用浏览器和服务器对资源加载设置的差异,通过某些方法和技巧,在相对路径处,引入我们可控的js/css文件,甚至引入非js/css文件,并按照js/css的语法执行,从而实现攻击。 Fuck the “Sha

3.1 输出引导字符串后,要求用户输入密码。

3.2 通过00401005处的函数进行密码比对

3.3 判断比对结果是不是0,如果是0则输出成功字符串,如果是1则输出失败字符串。

4. 单步执行程序,随便输入一个密码,然后单步步入00401005函数,分析这个函数的内容。

4.1  可以看出这个00401005是个跳转,直接单步进入函数真实位置。

4.2 进入到函数内部后可以看到真正的密码是1234567,如果我们是在逆向破解这个程序,那么到了这一步,就已经算是成功了。但是我们的目的是分析漏洞,所以我们现在进一步分析这个函数。

4.2.1  可以看出,在strcmp之后,ebp-4的位置上就有了密码比对的结果

4.2.1.1  strcmp比对密码,将比对结果存入ebp-4的位置上

4.2.1.2 栈中的密码比对结果

4.2.2 如果是正常的程序,这个时候就应该返回了,但是因为是实验代码,所以下面还有一个strcpy的拷贝函数,将输入的密码字符串拷贝入一个长度为8的缓冲区中。

4.2.3 当执行完strcpy的时候我们看一下堆栈区,可以看到字符串缓冲区的位置就在密码字符串比对结果旁边,并且strcpy没有对拷贝入的字符串进行长度判断。因此我们可以判断,我们在构造一个合适的字符串传入的情况下,是可以覆盖密码字符串比对结果的。这也意味着我们可以传入一个合适的字符串来冲破密码验证。

5. 我们重新加载这个程序,并且传入一个特定的字符串qqqqqqqq

6. 运行到密码比对函数进行分析

6.1 可以看出strcmp函数没有任何问题的执行成功并且返回了1,代表密码错误。并且把存储在eax中的返回值存储到ebp-4的位置上。

6.1.1 函数执行

6.1.2 返回值存储在eax

6.1.3 eax中的值mov到了ebp-4的位置上

6.2 下面到了引起溢出错误的strcpy函数,详细分析该函数溢出的过程。

6.2.1首先记录一下strcpy没有执行前堆栈的情况

6.2.2 执行strcpy函数

6.2.3 可以看到,堆栈中原本保存着密码比对结果的位置ebp-4,由于传入字符串超长,已经被覆盖成了0。这样一来,原本比对失败的结果就变成了比对成功。

7. 运行至返回,成功输出密码比对成功的信息

7.1 控制台成功信息

8. 那么是任何长于1234567的字符串都可以成功覆盖比对结果吗,尝试一下,输入9q,可以看到,对比结果的位置上并没有被覆盖成00,而是71,而只有对比结果等于0才可以成功验证。这说明不是任意长度字符串都可以。

9. 那么有什么结果可以覆盖成整好是0呢,那么答案是长度为8的字符串,长度为8的字符串实际长度为9,因为还有用来标记字符串结束的00,我们就是要使用结尾处的00来覆盖对比结果,使其数值为0


来源:Ms08067安全实验室



界世的你当

作你的肩膀



 ms08067安全实验室

本文源自微信公众号:Ms08067安全实验室

抽抽抽奖啦,又双叒是一份福利!

福利来袭 绝对硬货 文末有中奖小技巧哦 在这之前 请先允许我的 自我介绍 Ms08067安全实验室 简介: 专注红蓝队攻防。团队已出版《Web安全攻防:渗透测试实战指南》,预计2019年6月出版《内网安全攻防:渗透测试实战指南》,目前在编Python渗透测试,JAVA代码

人已赞赏
安全工具

《Web安全攻防》配套视频之SQLMAP详解

2019-10-14 20:18:04

安全工具

《Web安全攻防》配套视频 之 Union注入攻击及代码分析

2019-10-14 20:18:11

0 条回复 A文章作者 M管理员
    暂无讨论,说说你的看法吧
个人中心
购物车
优惠劵
今日签到
有新私信 私信列表
搜索