Upgrade to Pro — share decks privately, control downloads, hide ads and more …

W15 Buffer Overflow - 安全程式設計107上

123ojp
December 11, 2018

W15 Buffer Overflow - 安全程式設計107上

搬移 安全程式設計107上 ppt內容

123ojp

December 11, 2018
Tweet

More Decks by 123ojp

Other Decks in Technology

Transcript

  1. GCC

  2. gcc (GNU C Compiler) C語言編譯器 ./[FILE] 執行指定路徑檔案 參數:- g 開啟debug

    模式(請都加這個選項,才會有格外輔助資訊) - o 輸出檔案位子 - m32 用 32位元方式去編譯(64位元結構又不一樣,比較難)
  3. Objdump 其他參數 語法:objdump <option(s)> <file(s)> 參數 範例 說明 -i objdump

    –i 顯示支援的檔案格式與機 器架構 -f objdump -f a.o 顯示檔頭資訊 (-file- headers) -h objdump -h a.o 顯示區段表頭 (-[section- ]header) -x objdump -x a.o 顯示所有表頭 (-all- headers) -d objdump -d a.o 反組譯程式段 (- disassemble) -D objdump -D a.o 反組譯全部區段 (- disassemble-all) -t objdump -t a.o 顯示符號表 (-syms) -r objdump -r a.o 顯示重定位記錄 (-reloc)
  4. GDB

  5. 環境設置 u GDB u寫設定檔,讓組語印出來時,用 Intel 格式呈現 (預設是 AT&T 格式) 13

    AT&T Intel 说明 movl %eax, %ebx mov ebx, eax Intel的目的操作数在前,源操 作数在后 AT&T Intel 说明 %eax eax Intel的不带百分号
  6. gdb常用指令 參數 範例 說明 r 或是 run run 執行程式 break

    或是 b break main break *0x(記憶體位子) 設定中斷點(可設定多個) (執行時到哪裡停止) continue 或是 c 執行到下一個中斷點 顯示區段表頭 (-[section- ]header) list list 顯示原始碼 (編譯時需加入參數 –g) nexti 或是 ni ni 執行下一行 (Step over) stepi 或是 si si 執行下一行(Step into) (如果遇到call function會進 去一行一行執行) finish 或是 fin fin Step out (從stepinto跳出 disassemble [FUNC] disassemble main 反組譯某函式 (和objdump有點像) jump 或是 j [FUNC] j main 跳到某個函式/位子執行
  7. Gdb 「x」指令 x [Address expression] x /[Format] [Address expression] x

    /[Length][Format] [Address expression] char testArray[] = "0123456789ABCDEF"; 參數 範例 說明 o x/o testArray 八進位 x x/x testArray 十六進位 d .. decimal u x/u $ebp unsigned decimal t x/t *0x33323130 binary f x/d &a floating point a address c char i instruction s string
  8. 暫存器(Register) u EAX、 EBX、 ECX、EDX 運算用暫存器 u EIP(instruction pointer register)

    放下一個指令位子的暫存器 u EBP (base pointer) stack 的 base pointer u ESP(stack pointer) 指向 stack 頂端 的 stack pointer
  9. Main Function Stack Function Stack Frame Main Stack Frame Base

    Pointer ebp Stack Pointer esp Stack Frame 每一隻程式(function)有自己的Stack Frame
  10. Example 1 ▪假設今天呼叫 function(1, 2, 3); push 0x3 push 0x2

    push 0x1 call function add esp, 0xc ・參數 被 push進 stack 是 從右到左 ・呼叫副程式者清理stack 3 2 1 Stack Function Call (stack 傳參) 回到原本stack Frame 因為是往低記憶體 所以是「加」
  11. int main(){ add(1,2); return 0; } Stack Caller Function Callee

    Function void add(int n1, int n2){ int sum; sum = n1 + n2; } Stack Frame
  12. int main(){ add(1,2); return 0; } Stack Caller Function Callee

    Function void add(int n1, int n2){ int sum; sum = n1 + n2; } Stack Frame
  13. int main(){ add(1,2); return 0; } Stack Caller Function Callee

    Function void add(int n1, int n2){ int sum; sum = n1 + n2; } 2 Stack Frame
  14. int main(){ add(1,2); return 0; } Stack Caller Function Callee

    Function void add(int n1, int n2){ int sum; sum = n1 + n2; } 2 1 Stack Frame
  15. int main(){ add(1,2); return 0; } Stack Caller Function Callee

    Function void add(int n1, int n2){ int sum; sum = n1 + n2; } 2 1 Return Address Stack Frame
  16. int main(){ add(1,2); return 0; } Stack Caller Function Callee

    Function void add(int n1, int n2){ int sum; sum = n1 + n2; } 2 1 Return Address Saved BP(Main) Stack Frame
  17. int main(){ add(1,2); return 0; } Stack Caller Function Callee

    Function void add(int n1, int n2){ int sum; sum = n1 + n2; } 2 1 Return Address Saved BP(Main) Base Pointer ebp Stack Frame
  18. int main(){ add(1,2); return 0; } Stack Caller Function Callee

    Function void add(int n1, int n2){ int sum; sum = n1 + n2; } 2 1 Return Address Saved BP(Main) sum=3 Stack Frame
  19. int main(){ add(1,2); return 0; } Stack Caller Function Callee

    Function void add(int n1, int n2){ int sum; sum = n1 + n2; } 2 1 Return Address Saved BP(Main) sum=3 Restore the BP (& Stack Pointer) Stack Frame
  20. int main(){ add(1,2); return 0; } Stack Caller Function Callee

    Function void add(int n1, int n2){ int sum; sum = n1 + n2; } 2 1 Return Address Saved BP(Main) sum=3 使用 Return Address 返回到 Caller Funcion(Main) 的下一個指令 Stack Frame
  21. Stack 2 1 Return address Saved BP(Main) sum=3 Callee Function

    的 StackFrame Caller Function 的 StackFrame Stack Frame
  22. Stack Main Stack Frame Base Pointer Ebp(位子) Return Address (0x080483f3)

    call: push eip (把原先下一個指令存到stack) 然後 jump eip = 0x080483f3 push eip eip = 0x080483db Stack Pointer Esp
  23. Stack Main Stack Frame Return Address Base Pointer Ebp(位子) 儲存main

    的ebp位子 以便返回 stack frame Saved BP(Main) Stack Pointer Esp
  24. Stack Main Stack Frame Return Address Base Pointer Ebp(位子) 讓ebp

    移動到esp 讓整個stack 移動到 Func 的 frame Stack Pointer Esp Saved BP(Main)
  25. Stack Main Stack Frame Return Address Base Pointer Ebp(位子) 移動

    esp 0x10 給一個int 的空間 int 空間應該是0x4 至於為什麼給0x10 Stack Pointer Esp int a Saved BP(Main) https://stackoverflow.com/questions/19615639/why- the-compiler-reserves-just-0x10-bits-for-a-int
  26. Stack Main Stack Frame Return Address Base Pointer Ebp(位子) 把0x1

    (數字1) 複製到 Ebp – 0x4 (int a位子) Stack Pointer Esp int a Saved BP(Main)
  27. Stack Main Stack Frame Return Address Base Pointer Ebp(位子) Nop

    不做任何事 編譯器自動產生 Stack Pointer Esp int a Saved BP(Main)
  28. Stack Main Stack Frame Return Address Base Pointer Ebp(位子) leave

    指令等於: mov rsp,rbp pop rbp Stack Pointer Esp int a Saved BP(Main)
  29. Stack Main Stack Frame Return Address Base Pointer Ebp(位子) leave

    退出子程式 指令等於: mov esp,ebp pop ebp Stack Pointer Esp int a Saved BP(Main)
  30. Stack Main Stack Frame Return Address Base Pointer Ebp(位子) leave

    退出子程式 指令等於: mov esp,ebp pop ebp Stack Pointer Esp int a Saved BP(Main)
  31. Stack Main Stack Frame Return Address Base Pointer Ebp(位子) leave

    退出子程式 指令等於: mov esp,ebp pop ebp (拿到main stack frame ebp) 存入ebp Stack Pointer Esp int a int a Saved BP(Main)
  32. Stack Main Stack Frame Return Address Base Pointer Ebp(位子) leave

    退出子程式 指令等於: mov esp,ebp pop ebp (拿到main stack frame ebp) 存入ebp Stack Pointer Esp
  33. Stack Main Stack Frame Return Address Base Pointer Ebp(位子) Stack

    Pointer Esp 回到主程式 main 使用retrun address ret : pop eip (下一個指令位子)
  34. Buffer overflow u 然後 ret (pop eip) u 下一個指令位子變成0xaaaaaaaa?? u

    核心崩潰 Stack Main Stack Frame aaaaaaaaaaaaa aaaaaaaaaaaaa 下個指令 指向0xaaaa ???? aaaaaaaaaaaaa Return Address
  35. Stack Main Stack Frame 要蓋的地方 aaaaaaaaaaaaa aaaaaaaaaaaaa aaaaaaaaaaaaa Return Address

    Char buf[0x20] Saved BP[0x08] 攻擊payload = 首先 先放 ”a”*0x20 把char 再放 “a” * 0x08 把ebp蓋掉
  36. Stack Main Stack Frame 要蓋的地方 aaaaaaaaaaaaa aaaaaaaaaaaaa aaaaaaaaaaaaa Return Address

    Char buf[0x20] Saved BP(Main) 再來我們想要跳到eval(); 使用 objdump -d 拿到function位子
  37. 因 x86 底下是 little-endian 的 所以填入 address 時,需要反過來來填入 u 假設要填入

    0x00400716 就需要填入 \x16\x07\x40\x00\x00\x00\x00\x00 u 後面\x00是為了補完[0x08] Stack Main Stack Frame \x16\x07\x40\x 00\x00\x00\x00 \x00 aaaaaaaaaaaaa aaaaaaaaaaaaa aaaaaaaaaaaaa Return Address [0x08] Char buf[0x20] Saved BP[0x08]
  38. 哪些函數比較安全? u 安全: u scanf(“%d”,&a); u 不安全: u read 錯誤設定範圍

    u printf(a) 注意這寫法不安全 (formet String) u gets u strcpy u strcat