基于war-ftp1.65的缓冲区溢出攻击精要.doc

XX大学实验报告 学院：计算机科学与技术 专业：软件工程 班级：XX 姓名 XX 学号 XX 实验组 实验时间 2016/12/25 指导教师 XX 成绩 实验项目名称 缓冲区溢出攻击实验 实验目的 1掌握缓冲区溢出的原理 缓冲区指程序运行期间，在内存中分配的一个连续的区域，用于保存包括字符数组在内的各种数据类型。溢出，指所填充的数据超出了原有的缓冲区边界，并非法占据了另一段内存区域。缓冲区溢出，即由于填充数据越界而导致原有流程的改变，攻击者借此精心构造填充数据，让程序转而执行特殊的代码，最终获取控制权。 2掌握常用的缓冲区溢出方法 缓冲区溢出攻击的目的在于取得程序的控制权，为此，攻击者必须达到如下的两个目标：在程序的地址空间里安排适当的代码；通过适当的初始化寄存器和内存，让程序跳转到入侵者安排的地址空间执行。根据这两个目标来对缓冲区溢出攻击进行分类，缓冲区溢出攻击分为代码安排和控制程序执行流程两种方法：在程序的地址空间里安排适当的代码的方法；控制程序转移到攻击代码的方法。 3理解缓冲区溢出的危害性 缓冲区溢出的危害性具有破坏性与隐蔽性的特点：破坏性体现在易使服务程序停止运行，服务器死机甚至删除服务器上的数据或者可以执入并运行攻击代码。隐蔽性体现在软件漏洞难以避免，缓冲攻击的shellcode的执行不易被察觉，攻击的随机性及不可预测性。 4掌握防范和避免缓冲区溢出攻击的方法 通过操作系统使得缓冲区不可执行，从而阻止攻击者植入攻击代码；强制编写正确的代码；利用编译器的边界检查来实现缓冲区的保护；间接的方法是在程序指针失效前进行完整性检查等。 实验环境 windows 10 (缓冲区溢出攻击端)，windows xp Home（缓冲区溢出被攻击端） 编程工具: codeblocks(用于发送exploit代码)，exlipse（用来写测试代码字符和转换代码字符） 缓冲区漏洞软件：war-ftp 1.65 系统程序调试工具：ollydbg 网络环境:使用vmare承载windows xp，window10 与xp在同一网段下，可以进行相互通信 实验内容 分析war-ftp v1.65的基于用户名的缓冲溢出漏洞 实践课件上已指出：向服务器发送超过480字节的用户名可以触发漏洞（即使用命令USER longString\r\n），溢出之后，ESP中的内容包含了longString中的部分内容。需要对其进行验证分析。 2．分析war-ftp v1.65的堆栈结构 即分析堆栈中的EIP、ESP、EBP等的精确位置。 3．构造针对war-ftp v1.65的exploit 根据上述的分析结果，参照实践课件的例子，从网上(主要是)获取shellcode，构造exploit。 实验数据 1验证War-ftp v1.65基于用户名的缓冲溢出漏洞 在WindowsXP中使用olldbg装载war-ftp 1.65，degug(run，允许匿名登录； 在物理主机使用cuteftp登录，用户名使用依次增加的“AAA…”,当用户名长度超过480时，war-ftp 1.65出现异常甚至崩溃退出。 （正常情况）： 当输入用户名的长度超过了485个字符时，系统崩溃： (崩溃时)：直接处于卡死状态 此时的EIP,EBP,ESP如下图所示： 以上证据表示，war-ftp的确存在登录的缓冲区漏洞。 2分析War-ftp 1.65的堆栈结构 由于堆栈Ret里的地址被赋给EIP，CPU继续执行EIP所指向的命令，即EIP寄存器的内容表示将要执行的下一条指令地址，所以需要定位RET的精确位置。为了把shellcode放入预期的EIP指向的ESP或EBP，还需要定位ESP、EBP的精确位置。使用java程序生成长度为1000的不重复的字符串。 随后将生成的字符串使用cuteftp发送到被攻击主机，得到关于EIP,EBP,ESP的偏移位置如下： EIP ： 0x540x360x370x48 对应与H76T 在登录用户字符串的485个位置开始 ESP ： qFju 在登录用户字符串的493个位置开始 EBP： NUof 在登录用户字符串的581个位置开始 结果表明，EIP指向第485位置(从0开始计数)，ESP指向第493位置，EBP指向第581位置。从而可以得到war-ftp 1.65的堆栈结构图如下： 产生随机不重复字符串生成代码和16进制转换代码： package safe; import java.util.Random; /** * H