Write - Porostar: Stack0

Bài đăng này đã không được cập nhật trong 2 năm

Chào mọi người, đây là bài đầu tiên mình làm về Porostar, phần này mình sẽ viết về stack, bắt đầu từ stack0. Đây là bài write đầu tiên của mình, có sai sót gì mong các bạn góp ý ở dưới. Về cơ bản, các bài writeup của mình sẽ giải thích chi tiết cách hoạt động của từng phần. Link tải và cài đặt các bạn xem ở đây: https://exploit.education/protostar/stack-zero/ Sau khi cài đặt máy ảo về, các bạn có thể suy cập thẳng từ máy ảo, hoặc truy cập ssh với username, passwd là user – user. Gõ bash để truy cập chế độ dòng lệnh, các file bài tập lưu ở /opt/porostar/bin.

Tiếp theo sử dụng gdb để debug stack0

Đầu tiên mình thực hiện 1 số cài đặt cơ bản, chuyển flavor về intel vì mình quen với chế độ này, các bạn có thể giữ nguyên. Cài đặt break ở *main, thực hiện disassembly mainđược kết quả như sau:

Phần này liên quan đến stack, cơ chế stack là LIFO (last in first out), đặc trưng bởi 2 thao tác là push và pop. ESP và EBP là 2 thanh ghi hỗ trợ làm việc trên stack. ESP (stack pointer) là con trỏ stack, trỏ đến đỉnh stack, giá trị của esp sẽ thay đổi mỗi khi stack thực hiện push hay pop. EBP (base pointer) là con trỏ cơ bản, có giá trị không đổi trong 1 hàm cho trước, chương trình coi nó như là 1 người giữ chỗ để theo dõi các biến cục bộ và tham số. Ở 2 dòng đầu tiên, thực hiện push ebp và stack, sau đó lưu trữ ebp = esp. Để xem chi tiết hơn, ta thực hiện cài đặt hook-stop. Hiểu 1 cách đơn giản, hook-stop là 1 hàm sẽ thực hiện mỗi khi gặp break.

info registers : in ra thông tin các thanh ghi x/32wx: in ra 32 giá trị lưu trong stack từ $esp x/2i: in ra 2 dòng lệnh kế tiếp sau break Tham khảo thêm về các sử dụng x command: https://visualgdb.com/gdbreference/commands/x Sau khi cài đặt hook-stop, mình thực hiện run chương trình, chương trình sẽ thực hiện break tại *main, kế tiếp có thể sử dụng si để chạy step và xem sự thay đổi của thanh ghi. Ta thấy trong hàm main có lệnh gọi hàm khác là gets và puts. Hàm gets sẽ lấy dữ liệu từ bàn phím, tuy nhiên hàm này có thể gây lỗi buffer overflow.

5 dòng kế tiếp để cấp phát bộ nhớ cho mảng buffer[64] và thực hiện gán biến modified = 0; Biến modified lưu tại địa chỉ esp + 0x5c.

Đặt break tại gets. Sau đó chạy c (sử dụng để continue chạy chương trình).

Vị trí bôi xanh trong ảnh chính là biến modified. Eax lúc này mang địa chỉ 0xbffff75c, vị trí của biến modified là 0xbffff79c. Hàm gets sẽ thực hiện lấy dữ liệu bắt đầu từ địa chỉ mang trong eax, nếu ta tính toán thì từ 0xbffff79c đến 0xbffff75c sẽ là 64bits, tương ứng với 64bytes (Mỗi bits địa chỉ chứa 1 bytes dữ liệu). Đặt break phía sau gets (break *0x08048411), thực hiện gets với 64 kí tự A ta được kết quả như sau:

0x41 chính là giá trị của ‘A’ trong bảng ascii, có thể thấy nếu ta thực hiện thêm 1 kí tự, vị trí lưu biến modified sẽ bị thay đổi, thực hiện chạy lại chương trình, thêm vào 65 kí tự A, và đây là kết quả:

Biến modified đã bị thay đổi. Run hết chương trình, ta được kết quả mong muốn:

Ngoài ra, ở 2 dòng cuối của hàm main có lệnh leave có tác dụng leave: Đặt esp = ebp và pop ebp from stack, đó là lý do ban đầu ta sử dụng ebp để lưu esp. Tương tự các bạn có thể thử với stack1 và stack2. Cảm ơn các bạn đã đọc bài của mình, nếu có ý kiến các bạn để lại comment ở dưới để mình rút kinh nghiệm nhé.

reverse engineering BUFFER OVERFLOW

Mục lục