目录
1 逆向及Bof基础实践说明
1.1 实验内容
a.掌握反汇编与十六进制编程器
b.能正确修改机器指令改变程序执行流程
c.能正确构造payload进行bof攻击
1.2 基础知识
1.2.1 NOP, JNE, JE, JMP, CMP汇编指令的机器码:
NOP:机器码为0x90，意为空指令，无操作，执行下一语句。
JNE:机器码为0x75。意为条件转移指令，如果不相等则跳转。
JE:机器码为0x74。意为条件转移指令，如果相等则跳转。
JMP:意为无条件跳转指令，短跳转机器码为0xE8，中跳转机器码为0xE9，长跳转机器码为0xEA。
CMP:意为比较指令，功能相当于减法指令，对操作数之间运算比较，不保存结果。CMP指令也有多种形式，分别代表不同的功能，机器码分别为0x38、0x39、0x3A、0x3B、0x3C、0x3D。
1.2.2 掌握反汇编与十六进制编程器
反汇编主要用的命令是objdump -d 目标文件 | more
十六进制编程器是wxHexEditor，可以进行十六进制的查看和相应修改，避免我们对vim编辑器的操作不熟悉导致的错误。
2 直接修改程序机器指令，改变程序执行流程
- 知识要求：Call指令，EIP寄存器,指令跳转的偏移计算，补码，反汇编指令objdump，十六进制编辑工具
- 学习目标：理解可执行文件与机器指令
- 进阶：掌握ELF文件格式，掌握动态技术
下载目标文件pwn1，通过（原本应该将文件名改为与自己学号相关的名字，但是没注意到截图内容，但是主机名上有显示），然后objdump -d pwn1 | more反汇编
（我的图中，pwn1为实验执行文件，20201313是我的学号，20201313kali是我的主机名，xjy（徐嘉远）是我的用户名，意为test1是实验文件所在文件夹）
向下拉找到main函数，
然后用vim指令打开pwn1文件，内容如下：
然后通过指令
：%!xxd
可以将其转化为16进制显示，如下：
用
/e8 d7
查找到要修改的机器码的具体位置
按i进入插入模式后，将d7修改为c3,其目的解释如下：
正常流程下，eip中原本存储的是下一条指令的地址，即80484ba，但一解释e8这条指令，CPU就会转而执行 ”eip + e8后面的四字节地址“ 这个位置的指令
因此，eip = 80484ba+fffffd7=8048491（注意d7ffffff是补码，小段优先，计算时应写为fffffd7），也就是foo函数的地址
那我们想让它调用getShell，只要修改“d7ffffff”为 "getShell-80484ba"对应的补码就行，而0804847d-80484ba=ffffffc3，于是我们修改可执行文件，将其中的call指令的目标地址由d7ffffff变为c3ffffff，也就是上述操作的原因。
然后输入
:%!xxd -r
将其改回原编码格式，
然后：wq退出。
对pwn2反汇编，检验是否修改正确：
发现main的call指令后的地址变成了getshell函数的地址，且后面显示也为
运行改后的代码，会得到shell提示符
如上图所示，我们已经完成了对对应文件的修改。原来的可执行文件的功能是输入一段字符串，程序会重复输出该字符串，现在我们的程序变成了打开一个“命令行”。我们执行了ls命令后，成功打印出了当前目录下的所有文件。
3 通过构造输入参数，造成BOF攻击，改变程序执行流
3.1 反汇编，了解程序的基本功能
对pwn1反汇编。该可执行文件正常运行是调用函数foo。foo函数有Buffer overflow漏洞：foo读入字符串，但系统只预留了（28）字节的缓冲区，超出部分会造成溢出，我们的目标是覆盖返回地址
3.2 确认输入字符串哪几个字符会覆盖到返回地址
3.2.1安装gdb
在终端中输入gdb -v，若找不到该命令，则需先进行安装操作
sudo chmod a+w /etc/apt/sources.list
sudo chmod a-w /etc/apt/sources.list
sudo su
apt-get update
apt-get install gdb
最后再通过gdb -v，显示出版本号即为安装成功。
3.2.2分析覆盖返回地址的字符
按指导书步骤走
输入为1111111122222222333333334444444412345678时可以看到eip的值0x34333231，也就是1234（小端）的ASCII码
那只要把这四个字符替换为 getShell 的内存地址，输给pwn1，pwn1就会运行getShell。
3.3 确认用什么值来覆盖返回地址
之前反汇编时我们已知getShell的内存地址0x0804847d，由1234对应0x34333231分析出应该是小端写法，所以我们应当输入11111111222222223333333344444444\x7d\x84\x04\x08
对比之前 eip 0x34333231 0x34333231，验证了输入正确
3.4 构造输入字符串
按指导书进行操作，最终获取shell
我们没法通过键盘输入\x7d\x84\x04\x08这样的16进制值，所以先生成包括这样字符串的一个文件。\x0a表示回车。使用输出重定向“>”将perl生成的字符串存储到文件input中。
使用16进制查看指令xxd查看input文件的内容是否如预期，然后将input的输入，通过管道符“|”，作为pwn1的输入
可以看到攻击成功，获取了一个交互式的shell
4. 注入Shellcode并执行
4.1 准备一段Shellcode
shellcode就是一段机器指令（code）
- 通常这段机器指令的目的是为获取一个交互式的shell（像linux的shell或类似windows下的cmd.exe），
- 所以这段机器指令被称为shellcode。
- 在实际的应用中，凡是用来注入的机器指令段都通称为shellcode，像添加一个用户、运行一条指令。
4.2 准备工作
输入sudo apt-get install execstack ，安装execstack命令，按教程进行操作：
- 先通过
execstack - s指令来设置堆栈可执行 - 再用
execstack -q指令查询文件的堆栈是否可执行 - 检查发现
randomize_va_space为2，即地址随机化保护是开启的 - 关闭地址随机化，并检查地址随机化是否关闭，0即为关闭
4.3 构造要注入的payload
- Linux下有两种基本构造攻击buf的方法：
- retaddr+nop+shellcode
- nop+shellcode+retaddr。
- 因为retaddr在缓冲区的位置是固定的，shellcode要不在它前面，要不在它后面。
- 简单说缓冲区小就把shellcode放后边，缓冲区大就把shellcode放前边
--
-
我们这个buf够放这个shellcode了，所以shellcode放后边
-
结构为：retaddr+nop+shellcode（指导书里此处是坑）
- nop一为是了填充，二是作为“着陆区/滑行区”。
- 我们猜的返回地址只要落在任何一个nop上，自然会滑到我们的shellcode。
先打开一个终端，进入root模式，然后注入已经给好的shellcode,并用cat指令查看
再打开一个终端，通过ps -ef | grep 指令查看进程的pid号，这里是21615
然后通过attach这个进程号，用gdb来调试pwn1这个进程
用disassemble反汇编foo函数后，找到结尾处的地址（ret前的地址）
终端2执行到上图位置时，在终端1中按下回车，此时终端1出现乱码
终端2继续执行，看到 01020304了，就是返回地址的位置。shellcode就在后面，所以地址是 0xffffd500
将 0xffffd500放进shellcode，运行后发现成功获取shell，攻击成功
5 实践总结
5.1问题与解决
问题一：最常见的错误是zsh: permission denied，这个错误翻译过来是段出错，例如
由于没法通过键盘输入\x7d\x84\x04\x08这样的16进制值，所以需要先生成包括这样字符串的一个文件。\x0a表示回车，如果没有的话，在程序运行时就需要手工按一下回车键。所以要使用Perl，Perl是一门解释型语言，不需要预编译，可以在命令行上直接使用。使用输出重定向“>”将perl生成的字符串存储到文件input中。然后将input的输入，通过管道符“|”，作为pwn1的输入。具体截图在上面流程中已经有体现。
问题二：E:Unable to locate package报错。这个问题在咨询了课题负责人后，在相关文章(37条消息) Kali Linux E:Unable to locate package 完美解决！_kali 中e:unable to_聂大哥的博客-CSDN博客帮助下得到解决，具体原因估计就是当时拷贝的映像版本太老了。
5.2实验体会
这一次实验如果理解了缓冲区溢出攻击的原理，对于这次实验每一步都在做什么的理解难度是不高的，问题主要是在gdb的安装与使用，以及一些具体的linux语句的使用上，但是按着同学做的实验报告流程来做，难度总体上是很小的，只是花的时间可能会比较长。收获最大的应该就是了解了怎么使用perl语言去进行输入，以及通过查询相关进程号进行gdb调试了。
标签：pwn1,--,地址,指令,反汇编,20201313,输入,shellcode,Bof From： https://www.cnblogs.com/shadevil/p/17222087.html