二进制漏洞挖掘与利用

1. pwn概述及基本术语补充

1.1 pwn概述

    pwn可以指：
        1.  破解、利用成功（程序的二进制漏洞）
        2.  攻破了设备、服务器
        3.  控制了设备、服务器
    （简单理解）pwn漏洞指的就是：已经编译成机器码的二进制程序（可执行程序）相关的漏洞。

1.2 ELF

    ELF指的就是linux系统下可执行文件的格式。

1.3 ida

    ida是非常优秀的反编译器和反汇编器。
    ida可以将机器码反编译成汇编语言甚至C语言。

1.4 exploit(EXP)

    exploit指的是用于攻击的脚本与方案。

1.5 payload(攻击载荷)

    payload指的就是：攻击者精心构造一段恶意数据发送给服务器，服务器解析这段数据之后，导致服务器当中程序的控制流被攻击者劫持。

1.6 shell

    shell可以简单理解为：linux系统下用户与操作系统进行交互的接口（界面）。通过shell，用户可以跟操作系统进行交互去完成一些事情（使用命令去查看磁盘中存储的文件，创建文件等）。

1.7 shellcode

    shellcode指的是：攻击者利用漏洞，导致进一步调用攻击目标的shell的代码。

2. 二进制基础

2.1 程序的编译与链接-前置知识

    在Windows中，通过后缀名来识别一个文件的格式。
    但是在Linux中，通过文件头来识别一个文件的格式。我们可以通过file命令来查看一个文件的格式（file命令内部会查看一个文件的文件头）。
    我们可以通过vim当中的%!xxd来查看一个文件的二进制内容（十六进制格式）。
    我们可以通过vim当中的%!xxd -r将文件的二进制内容还原为原本内容。

    上述图片展示了某个c程序的二进制内容。左侧表示的是该行距离文件头有多少字节。中间就是二进制内容（十六进制格式）。最后就是用户看到的c程序。

2.1 程序的编译与链接-gcc

    gcc是GNU组织的一个c程序的编译器。
    当我们使用gcc example.c去编译c程序时，会生成一个example.out文件。这个文件就是该c程序的二进制文件，这个文件可以直接被加载到内存当中执行。
    我们可以通过gcc -S example.c 将c程序编译成汇编语言。会生成example.s文件。
    我们可以通过file命令查看这些文件的格式：
    example.c -> ASCII Text
    example.s -> ASCII Text
    example.out -> ELF

    gcc既可以充当编译器，也可以充当汇编器。

2.1 从C源代码到可执行文件的生成过程

    一个C程序要经过编译生成汇编代码，再通过汇编生成机器码，再通过将多个机器码的目标文件（库函数等）进行链接成一个可执行文件后，才可以放到内存中执行。

2.2 Linux下的可执行文件格式ELF

    什么是可执行文件？
        1.  广义：文件中的数据是可执行代码的文件
            .out、.exe、.sh、.py
        2.  狭义：文件中的数据是机器码的文件
            .out、.exe、.dll、.so

    可执行文件的分类：
        1.  Windows：PE（Portable Executable）
            可执行程序：.exe
            动态链接库：.dll
            静态链接库：.lib
        2.  Linux：ELF（Executable and Linkable Format）
            可执行程序: .out
            动态链接库: .so
            静态链接库：.a

    ELF文件格式（内存）：
        1.  ELF header(ELF文件头表)
            记录了ELF文件的组织结构（整体信息），操作系统通过分析ELF header来为ELF创建一个进程映像。
        2.  程序头表/段表(Program header table)
            用于表明进程映像不同部分权限（例如：代码段不可写，数据段可写等）。
            用于标识ELF中各种各样的段是如何组织起来的。
            告诉系统如何创建进程
            生成进程的可执行文件必须拥有此结构
            重定位文件（链接库文件）不一定需要
        3.  节头表（Section header table）
            节头表是用来组织ELF文件存储在磁盘上各个节的信息。（一个段中有可能有多个节）
            记录了ELF文件的节区信息
            用于链接的目标文件必须拥有此结构
            其他类型目标文件不一定需要
        4.  代码段(CODE)
            记录了代码主体
        5.  数据段(DATA)
            用来存放ELF文件在运行时所需要的数据。
        6.  Sections' names
            用来存放各个节的名称。

    左图是一个ELF文件存储在磁盘上，还没有运行时的情况。（节视图）(代表该ELF文件以节的形式进行组织)
    右图是一个ELF文件加载到内存中执行时的情况。（段视图）（代表该ELF文件以段的形式进行组织）
    从左图->右图，操作系统会将具有相同权限的节聚合成一个段。

    objdump -s elf 用于查看该elf文件在磁盘上的结构
    cat /proc/pid/maps 用于查看该elf文件在内存上的结构（前提需要确保该进程没有消亡）

    参考资料：https://blog.csdn.net/weixin_43942316/article/details/131051625

2.3 进程虚拟地址空间

    虚拟地址空间的定义和必要性：
        虚实地址分开，建立一种从虚地址空间映射到物理内存的机制。
        对于每一个进程来说，它们都拥有完整的虚拟地址空间。操作系统将内存的物理地址空间和虚拟地址空间进行分页（页大小相等）。对于每一个进程来说，虚拟地址空间是连续的。但是，对于物理地址空间来讲，每个进程所分配的页都是离散存储的。
        如果分配给进程的物理页不够怎么办？采用对换技术，在外存中建立一片对换区，将不常用的页换到外存，将所需的页换入到内存（局部性原理）。
        虚拟存储原理使得：可以支持大于实际物理内存的编程空间，使系统更加安全。

    地址以字节编码，常以十六进制表示
    虚拟内存每个进程的用户空间，每个进程独占一份。
    虚拟内存内核空间（操作系统代码）所有进程共享一份
    虚拟内存mmap段中的动态链接库仅在物理内存中装载一份。

2.3 进程虚拟地址空间-关于段和节的进一步阐述

    我们可以简单记忆：
        段视图规定了ELF文件在内存中如何执行（包括权限划分等）。
        节视图规定了ELF文件在磁盘中如何存储。（包括文件结构的组织等）
        在ELF文件执行时，会将相同权限的节组合成一个段。

    代码段包含了代码与只读的数据：
        .text节存储着程序的代码
        .plt节用于解析动态链接函数的实际地址。
        .rodata节用于保存ELF文件中的只读数据。
    数据段包含了可读可写数据：
        .got.plt节用于保存.plt节解析的实际地址。
        .bss节只在内存中占用空间，并不在磁盘中占用空间。用于保存ELF文件中未初始化的变量。

2.3 进程虚拟地址空间-进程执行时各部分内容如何存储？

    当一个程序装载到内存执行时，该程序的各个部分是怎么存储在该进程的虚拟地址空间当中的？

    我们对上图的内容进行解释：
        1. Text(Code)段：存放了sum函数具体实现的机器码，main函数具体实现的机器码，只读数据："Hello world!"
        2. Data段：用于存放已进行初始化的全局变量：str
        3. Bss段：用于存放未进行初始化的全局变量：glb
        4. 由于main()函数使用了malloc动态分配了空间，因此这部分空间以及存储在其中的数据会放在Heap当中。
        5. 当进行函数调用时，该函数内部的局部变量以及函数的执行状态等相关数据会存放在Stack当中。（t是sum函数的局部变量，ptr是main函数的局部变量，分配存放在不同的栈帧中）
        6.  关于函数形参的存储位置，不同的架构存储位置不同。如果是32位，则形参也存储在栈当中，当调用函数之前，会把该函数的形参压入栈。如果是64位，则形参会存储在寄存器中，当函数执行时，直接从寄存器当中取值即可。

2.3 大端序与小端序

    小端序：
        1.  低地址存放数据低位，高地址存放数据高位。
        2.  小端序比大端序更容易被利用。
    大端序：
        1.  低地址存放数据高位，高地址存放数据低位。

2.4 程序的装载与进程的执行

    在不同的架构下，PC有不同的名称：
        1.  x86架构：EIP
        2.  x86-64/amd64架构：RIP

    在amd64架构下，部分寄存器的功能：
        1.  RIP
        2.  RSP：存放当前栈帧的栈顶地址
        3.  RBP：存放当前栈帧的栈底地址
        4.  RAX：通用寄存器，存放当前函数返回值。

    静态链接程序与动态链接程序之间的区别：
        1.  静态链接程序不需要动态链接库，该程序运行所需的所有内容都存储在了ELF文件中，静态链接程序可以独立执行。
        2.  动态链接程序在运行时需要动态链接库的支持，该程序运行所需的所有内容并不是都存储在了ELF文件中。当程序编译时会先记录下该程序所需要的动态链接库，等到运行时再从动态链接库中寻找所需的库函数。动态链接程序不可以独立执行，需要相应库函数的支持。

2.4 静态链接的程序，main函数执行之前和执行之后的事情

    有人说，main()函数是用户自定义程序的入口。为什么？main()函数执行之前和执行之后做了什么事情？
    总的来说，一个进程在执行main()函数之前，系统需要为该进程分配所需的空间，分配之后再去调用main()函数。因此，main()函数并不是真正意义上程序的入口。

    shell程序执行fork()函数，用于将自己的虚拟地址空间（用户虚拟地址空间）拷贝给当前进程。
    之后会调用execve()函数，它是系统调用sys_execve()的封装。（user mode）
    之后会执行系统调用sys_execve()、do_execve()、search_binary_handler()、load_elf_binary(),尝试将系统资源分配给当前进程,并将拷贝的虚拟地址空间重写为当前进程的内容。(kernel mode)
    之后会返回user mode,执行_start代码，注意:_start代码是一段汇编程序，它才是真正的程序入口。
    _start会调用当前程序的main()函数，此程序开始。

2.4 动态链接的程序，main函数执行之前和执行之后的事情

    在这里，讲一下ld.so是什么？
        ld.so是动态链接器，由于动态链接程序在运行的时候，需要动态链接库的函数，那么我们需要动态链接器来完成这个事情。

2.5 x86&amd64汇编简述

    MOV DEST,SRC 将源操作数传送给目标
    LEA REG,SRC 把源操作数的有效地址传送给指定的寄存器

    PUSH VALUE 把目标值压栈，同时SP指针-1字长
    POP DEST 将栈顶的值弹出至目的存储位置，同时SP指针+1字长。

    注意：进程的栈空间是从高地址往低地址增长，其余空间均从低地址往高地址增长。

    LEAVE 在函数返回时，恢复父函数栈帧的指令。
    RET 在函数返回时，控制程序执行流返回父函数的指令

    栈帧保存着被调用函数的状态。需要注意的是：PUSH/POP操作的对象是值而不是栈帧。

3. C语言函数调用栈的过程

3.1 函数调用栈的基本流程

    栈用来保存函数运行时的状态信息。包括函数参数和局部变量等
    当发生函数调用时，调用函数(caller)的状态保存在栈中，被调用函数(callee)的状态被压入调用栈的栈顶。当父函数调用子函数时，就会将子函数的栈帧压入到栈顶。
    当函数调用结束时，栈顶的函数(callee)状态被弹出，栈顶恢复到调用函数(caller)的状态。
    栈从高地址往低地址增长，所以栈顶地址对应的内存地址，压栈时变小，退栈时变大。
    EBP/RBP寄存器保存上一个栈帧的栈底地址。(CPU架构：32位/64位)
    ESP/RSP寄存器保存当前栈帧的栈顶地址。（同上）
    栈的空间远远小于堆的空间。

3.2 栈帧结构概览

    在上图中，%ebp和%esp寄存器之间的就是当前函数的栈帧。
    return address 为返回地址
    stack frame pointer 为上一个栈帧的栈底（上一个栈帧的%ebp）的值（方便恢复父函数的栈底指针）
    local variables 为局部变量（保存在对应函数的栈帧内）
    arguments 在32位架构中，子函数的形参并不是保存在自身的栈帧中，而是保存在父函数栈帧的末尾位置。这里的arguments是子函数的形参。

3.3 C语言函数调用栈的详细过程

    函数状态主要涉及到三个寄存器：esp，ebp，eip。
    esp用来存储函数调用栈的栈顶地址，在压栈和退栈时发生变化。
    ebp用来存储当前函数状态的基地址，在函数运行时不变，可以用来索引确定函数参数或局部变量的位置。
    eip用来存储即将执行的程序指令的地址，cpu按照eip的存储内容读取指令并执行，eip随之指向相邻的下一条指令，如此反复，程序就可以连续执行指令。

    接下来我们来阐述一下函数调用栈的详细过程。
        1.  首先将被调用函数(callee)的参数按照逆序依次压入栈内。如果被调用函数没有参数，则此步骤省略。这些参数仍会保存在调用函数(caller)的函数状态(栈帧)内(即：被调用函数的参数保存在父函数的栈帧内，而不是当前函数栈帧内)，之后压入栈的数据都会作为被调用函数(callee)的函数状态来保存。
        2.  然后将调用函数(caller)进行调用之后的下一条指令地址作为返回地址压入栈内。这样调用函数(caller)的eip(指令)信息得以保存。返回地址的意义在于当子函数执行完之后，就可以返回父函数的返回地址处继续执行。
        3.  再将当前的ebp寄存器的值（也就是调用函数的基地址）压入栈内，并将ebp寄存器的值更新为当前栈顶的地址。这样调用函数(caller)的ebp(基地址)信息得以保存。同时，ebp被更新为被调用函数(callee)的基地址。  
        4.  再之后是将被调用函数(callee)的局部变量等数据压入到栈内。
        5.  在压栈的过程中，esp寄存器的值不断减小。压入栈的数据包括：调用参数、返回地址、调用函数的基地址、以及局部变量，其中调用参数以外的数据共同构成了被调用函数(callee)的状态。在发生调用时，程序还会将被调用函数(callee)的指令地址存在eip寄存器内，这样程序就可以依次执行被调用函数的指令了。
        6.  当子函数执行完成后，我们将栈帧恢复到调用函数的状态。
        7.  首先将被调用函数的局部变量会从栈内直接弹出，栈顶会指向被调用函数(callee)的基地址。（只需要更改栈顶指针）
        8.  然后将基地址存储的调用函数(caller)的基地址从栈内弹出，并存到ebp寄存器内。这样调用函数(caller)的ebp(基地址)信息得以恢复（leave指令，需要esp和ebp并不指向同一个地址的情况下。如果esp和ebp指向同一个地址，那么直接使用pop ebp即可）。此时栈顶会指向返回地址。
        9.  再将返回地址从栈内弹出，并存储到eip寄存器内（ret指令）。这样调用函数(caller)的eip(指令)信息得以恢复。
        10. 之后调用函数(caller)的函数状态就全部恢复了，之后就可以继续执行调用函数的指令。

    需要注意：
        1.  在x86架构中，使用栈来传递参数，使用eax寄存器来存放返回值。
        2.  在amd64架构中，前6个参数依次存放于rdi,rsi,rdx,rcx,r8,r9寄存器中，第7个以后的参数存放于栈中。
        3.  一个函数在被调用以及返回时，一定会有如下四行汇编代码：
        push ebp
        mov esp ebp
        ...
        leave(可能有)
        ret
        4.  call指令不同于jump指令，jump指令只是单纯跳转目标位置。但是call指令会跳转到被调用函数的开头，并记录返回地址。
        5.  因此，当父函数调用子函数时，它会将子函数的参数压入到自己的栈帧中，同时会将返回地址压入到自己的栈帧中。因此：返回地址存在于父函数的栈帧。
        6.  调用子函数时，子函数的汇编代码首先就是将ebp压栈(记录下上一个函数栈帧的栈底，便于返回)。

    对于上述图片，虚线上方是父函数栈帧，虚线下方是子函数栈帧。