其他分享
首页 > 其他分享> > 《深入理解计算机系统》实验三Attack Lab下载和官方文档机翻

《深入理解计算机系统》实验三Attack Lab下载和官方文档机翻

作者:互联网

前言

《深入理解计算机系统》官网:http://csapp.cs.cmu.edu/3e/labs.html
该篇文章是实验三Attack Lab的Writeup机翻。
原文:http://csapp.cs.cmu.edu/3e/attacklab.pdf
阅读文档能对实验有所帮助。

在官网点击下方即可下载实验三的文件
在这里插入图片描述

1.介绍

这项任务涉及对两个具有不同安全vul漏洞的程序生成总共五次攻击。你将从这个实验室获得的成果包括:

请注意:在本实验中,您将获得利用操作系统和网络服务器安全漏洞的方法的第一手经验。我们的目的是帮助您了解程序的运行时操作,并了解这些安全弱点的性质,以便您在编写系统代码时能够避免这些弱点。我们不允许使用任何其他形式的攻击来获得未经授权的访问任何系统资源。
您将需要学习CS:APP3e书的3.10.3和3.10.4章节作为本实验室的参考材料。

2.组织工作

和往常一样,这是一个个人项目。您将对为您定制的生成的目标程序生成攻击。

2.1得到文件

获取文件你可以通过将Web浏览器指向以下地址获取文件:

http://$Attacklab::SERVER_NAME:15513/
INSTRUCTOR: $Attacklab::SERVER_NAME is the machine that runs the attacklab servers. You define it in attacklab/Attacklab.pm and in attacklab/src/build/driverhdrs.h

服务器将构建您的文件,并将它们以tar文件targetk.tar的形式返回给您的浏览器,其中k是您的目标程序的唯一编号。
请注意:构建和下载目标需要几秒钟,所以请耐心等待。
将targetk.tar文件保存在您计划在其中进行工作的(受保护的)Linux目录中。然后输入命令:tar -xvf targetk.tar。这将提取一个目录targetk,其中包含下面描述的文件。
您应该只下载一组文件。如果由于某种原因您下载了多个目标,请选择一个目标并删除其余的目标。
警告:如果在PC上使用Winzip之类的工具扩展targetk.tar,或者让浏览器进行解压,则可能会重新设置可执行文件的权限位。
targetk中的文件包括:
README.txt:描述目录内容的文件
ctarget:易受代码注入攻击的可执行程序
rtarget:易受面向返回编程攻击的可执行程序
cookie.txt:8位十六进制代码,您将在攻击中使用它作为唯一标识符。
farm.c:目标“gadget farm”的源代码,您将使用它生成面向返回的编程攻击。
hex2raw:生成攻击字符串的实用程序。
在下面的说明中,我们将假设您已经将文件复制到一个受保护的本地目录,并且正在该本地目录中执行程序。

2.2重要的几点

以下是关于本实验室有效解决方案的一些重要规则的总结。当您第一次阅读本文档时,这些要点可能没有多大意义。一旦开始,它们将作为规则的中心参考呈现在这里

3.目标程序

CTARGET和RTARGET都从标准输入中读取字符串。它们使用下面定义的函数getbuf来实现:
在这里插入图片描述
Gets函数类似于标准库的get函数——它从标准输入(以’ \n '或文件结束符结束)中读取字符串,并将其(连同空结束符)存储在指定的目的地。
在这段代码中,您可以看到目标是一个数组buf,声明为具有BUFFER_SIZE字节。在生成目标时,BUFFER_SIZE是特定于程序版本的编译时常量。
函数Gets()和gets()无法确定它们的目标缓冲区是否足够大,以存储它们读取的字符串。它们只是复制字节序列,可能会超出在目的地分配的存储边界。
如果用户输入并由getbuf读取的字符串足够短,那么很明显,getbuf将返回1,如下面的执行示例所示:
在这里插入图片描述
在这里插入图片描述
通常,如果您键入长字符串,就会发生错误:
在这里插入图片描述
(请注意显示的cookie值与您的值不同。)程序RTARGET将具有相同的行为。正如错误消息所指出的,溢出缓冲区通常会导致程序状态损坏,从而导致内存访问错误。您的任务是更聪明地使用您提供给CTARGET和RTARGET的字符串,以便它们能够做更有趣的事情。这些被称为利用字符串。CTARGET和RTARGET都接受几个不同的命令行参数:
-h:输出可能的命令行参数列表
-q:不要把成绩发给评分服务器
-i FILE:从文件提供输入,而不是从标准输入
您的漏洞利用字符串通常包含与打印字符的 ASCII 值不对应的字节值。 程序 HEX2RAW 将使您能够生成这些原始字符串。 有关如何使用 HEX2RAW 的更多信息,请参阅附录 A
重要的几点:

当你正确地解决了其中一个关卡,你的目标程序将自动发送通知给评分服务器。例如:
在这里插入图片描述
图1:攻击实验室阶段总结

图1:攻击实验室阶段总结

CI:代码注入
ROP:面向返回编程
服务器将测试您的漏洞利用字符串以确保它确实有效,并将更新 Attacklab 记分板页面,指示您的用户 ID(按匿名目标编号列出)已完成此阶段
您可以通过将Web浏览器指向来查看计分板

http://$Attacklab::SERVER_NAME:15513/scoreboard
与Bomb Lab实验不同的是,在这个实验室里犯错不会受到惩罚。您可以随意使用您喜欢的任何字符串来攻击CTARGET和RTARGET。 重要注意:您可以在任何Linux机器上处理您的解决方案,但是为了提交您的解决方案,您需要在以下机器之一上运行 INSTRUCTOR: Insert the list of the legal domain names that you established in buflab/src/config.c. 图1总结了本实验室的五个阶段。可以看到,前三种攻击涉及对CTARGET的代码注入(CI)攻击,而后两种攻击涉及对RTARGET的面向返回编程(ROP)攻击

4.第一部分:代码注入攻击

对于前三个阶段,您的漏洞利用字符串将攻击 CTARGET。 该程序的设置方式使堆栈位置从一次运行到下一次运行保持一致,因此可以将堆栈上的数据视为可执行代码。 这些功能使程序容易受到攻击,其中漏洞利用字符串包含可执行代码的字节编码。

4.1 Level 1

对于阶段 1,您不会注入新代码。 相反,您的漏洞利用字符串将重定向程序以执行现有程序
函数 getbuf 在 CTARGET 中由具有以下 C 代码的函数测试调用
在这里插入图片描述
当getbuf执行它的返回语句(getbuf的第5行)时,程序通常在函数test中继续执行(在该函数的第5行)。我们想要改变这种行为。在文件ctarget中,有一个函数touch1的代码,它具有如下的C表示形式
在这里插入图片描述
您的任务是让CTARGET在getbuf执行它的return语句时执行touch1的代码,而不是返回到test。注意,利用字符串也可能破坏与此阶段不直接相关的堆栈部分,但这不会造成问题,因为touch1会导致程序直接退出
一些建议:

4.2 Level 2

阶段2涉及注入少量代码作为利用字符串的一部分。在文件ctarget中,有一个函数touch2的代码,它具有如下的C表示形式:
在这里插入图片描述
在这里插入图片描述
您的任务是让 CTARGET 执行 touch2 的代码,而不是返回测试。 但是,在这种情况下,您必须使它看起来像 touch2,好像您已将 cookie 作为其参数传递一样
一些建议:

4.3 Level 3

阶段3还涉及到代码注入攻击,但要传递一个字符串作为参数。
在文件ctarget中,有函数hexmatch和touch3的代码,它们具有以下C表示形式:
在这里插入图片描述
在这里插入图片描述
您的任务是让 CTARGET 执行 touch3 的代码,而不是返回测试。 您必须让它在 touch3 看来就像您传递了 cookie 的字符串表示作为其参数一样
一些建议:

5.第二部分:面向返回的编程

对程序 RTARGET 执行代码注入攻击比对 CTARGET 执行代码注入攻击要困难得多,因为它使用两种技术来阻止此类攻击

幸运的是,聪明的人已经设计出了一些策略,通过执行现有代码而不是注入新代码来在程序中完成有用的事情。最普遍的形式被称为面向返回的编程(ROP)[1,2]。ROP的策略是在现有的程序中识别字节序列,该程序包含一个或多个指令,后面跟着指令ret。这样的段称为gadget。
在这里插入图片描述

图2:设置要执行的gadget序列。字节值0xc3编码ret指令。
图2说明了如何设置堆栈来执行一个包含n个gadget的序列。在这个图中,堆栈包含一个小工具地址序列。每个小部件由一系列指令字节组成,最后一个是0xc3,编码ret指令。当程序执行以这个配置开始的ret指令时,它将启动一个小工具执行链,每个小工具的末端都有ret指令,这将导致程序跳转到下一个小工具的开始。 小工具可以使用与编译器生成的汇编语言语句相对应的代码,尤其是函数末尾的代码。 在实践中,这种形式可能会有一些有用的小工具,但不足以实现许多重要的操作。 例如,编译函数极不可能将 popq %rdi 作为它在 ret 之前的最后一条指令。 幸运的是,对于面向字节的指令集,例如 x86-64,通常可以通过从指令字节序列的其他部分提取模式来找到小工具。 例如,rtarget的一个版本包含为以下C函数生成的代码:

在这里插入图片描述
这个函数用于攻击系统的可能性似乎非常小。但是,这个函数的分解机器码显示了一个有趣的字节序列
在这里插入图片描述
字节序列 48 89 c7 对指令 movq %rax, %rdi 进行编码。 (有关有用 movq 指令的编码,请参见图 3A。)此序列后跟字节值 c3,它对 ret 指令进行编码。 函数从地址 0x400f15 开始,序列从函数的第四个字节开始。 因此,此代码包含一个起始地址为 0x400f18 的小工具,它将寄存器 %rax 中的 64 位值复制到寄存器 %rdi。
RTARGET的代码包含许多类似于上面所示的setval_210函数的函数,这些函数位于我们称为gadget farm的区域中。您的工作将是在gadget farm中识别有用的gadget,并使用这些gadget执行类似于您在阶段2和阶段3中所做的攻击。
重要的:小工具场由 rtarget 副本中的函数 start_farm 和 end_farm 划分。 不要尝试从程序代码的其他部分构建小工具。

5.1 Level 2

对于第 4 阶段,您将重复第 2 阶段的攻击,但使用来自您的小工具群的小工具在程序 RTARGET 上执行此操作。 您可以使用由以下指令类型组成的小工具构建您的解决方案,并且仅使用前八个 x86-64 寄存器 (%rax–%rdi)。
movq:这些代码如图3A所示。
popq:这些代码如图3B所示。
ret:该指令由单个字节0xc3编码。
nop:这条指令(发音为“no op”,是“no operation”的缩写)由单个字节0x90编码。它的唯一作用是使程序计数器加1。

一些建议:

5.2 Lecel 3

在你开始阶段5之前,停下来考虑一下到目前为止你已经完成了什么。在阶段2和阶段3中,您使程序执行您自己设计的机器代码。如果CTARGET是一个网络服务器,您可以将自己的代码注入到远程机器中。在阶段4中,您绕过了现代系统用来阻止缓冲区溢出攻击的两个主要设备。尽管您没有注入自己的代码,但您可以注入一种通过将现有代码序列拼接在一起来操作的程序类型。你的实验室也得到了95/100分。那是个不错的分数。如果你有其他紧迫的任务,考虑立即停止。
阶段 5 要求您对 RTARGET 进行 ROP 攻击,以使用指向 cookie 字符串表示的指针调用函数 touch3。 这似乎并不比使用 ROP 攻击来调用 touch2 困难得多,除非我们已经这样做了。 此外,第 5 阶段仅计 5 分,这并不是对其所需努力的真正衡量标准。 对于那些想要超出课程正常预期的人来说,这更像是一个额外的学分问题。

A. movq指令编码
在这里插入图片描述
B. popq指令编码
在这里插入图片描述
C. movl指令的编码
在这里插入图片描述
D. 2字节功能性nop指令的编码
在这里插入图片描述

图3:指令的字节编码。所有值以十六进制显示。
要解决阶段5,可以在rtarget中由函数start_farm和end_farm划分的代码区域中使用小工具。除了在阶段4中使用的小工具,这个扩展的场还包括不同的movl指令的编码,如图3C所示。这部分场中的字节序列也包含2字节指令,它们作为nops函数,也就是说,它们不改变任何寄存器或内存值。这些指令包括如图3D所示的指令,如andb %al,%al,它们对一些寄存器的低阶字节进行操作,但不改变它们的值。 一些建议:

祝你好运,玩得开心!

A 使用 HEX2RAW

HEX2RAW接受一个十六进制格式的字符串作为输入。在这种格式中,每个字节值由两个十六进制数字表示。例如,字符串“012345”可以十六进制格式输入为“30 31 32 33 34 35 00”。(回想一下,十进制数字x的ASCII码是0x3x,字符串的结尾由一个空字节表示。)
您传递给 HEX2RAW 的十六进制字符应由空格(空格或换行符)分隔。 我们建议您在处理漏洞时用换行符分隔漏洞利用字符串的不同部分。 HEX2RAW 支持 C 风格的块注释,因此您可以标记出漏洞利用字符串的部分。 例如:
在这里插入图片描述
请确保在开始和结束的注释字符串(" /* “,” */ ")周围留下空格,以便正确地忽略注释。
如果您在文件exploit.txt 中生成一个十六进制格式的漏洞利用字符串,您可以通过几种不同的方式将原始字符串应用于CTARGET 或RTARGET:

  1. 您可以设置一系列管道来通过HEX2RAW传递字符串。
    在这里插入图片描述
  2. 你可以将原始字符串存储在一个文件中,并使用I/O重定向:
    在这里插入图片描述
    当从GDB中运行时,也可以使用这种方法:
    在这里插入图片描述
    3.你可以将原始字符串存储在一个文件中,并将文件名作为命令行参数提供:
    在这里插入图片描述
    当从GDB中运行时,也可以使用这种方法。

B 生成字节码

使用GCC作为汇编器,使用OBJDUMP作为反汇编器,可以方便地生成指令序列的字节代码。例如,假设您编写了一个文件示例。包含以下程序集代码:
在这里插入图片描述
代码可以包含指令和数据的混合。’ # '字符右侧的任何内容都是注释。
现在可以组装和反汇编此文件:
在这里插入图片描述
生成的文件example.d包含以下内容:
example.o: 文件格式elf64 - x86 - 64
文本的反汇编:
在这里插入图片描述
底部的行显示了从汇编语言指令生成的机器代码。 每行左边有一个十六进制数表示指令的起始地址(从0开始),而“:”字符后面的十六进制数字表示指令的字节码。 因此,我们可以看到,指令 pushq $0xABCDEF 具有十六进制格式的字节码 68 ef cd ab 00。
从这个文件中,您可以获得代码的字节序列:
在这里插入图片描述
然后可以通过 HEX2RAW 传递此字符串以生成目标程序的输入字符串。或者,您可以编辑 example.d 以省略无关值并包含 C 样式注释以提高可读性,产生
在这里插入图片描述
这也是在发送到目标程序之前可以通过HEX2RAW传递的有效输入。

标签:字节,攻击,代码,Lab,Attack,指令,机翻,字符串,函数
来源: https://blog.csdn.net/weixin_43362650/article/details/121084611