IDA 漏洞发掘方法示例.doc

漏洞发掘方法示例 1. 外部观察，了解文件类型、行为和外部接口。 [cloud@rsas zzz]$ file zzz zzz: setuid ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), for GNU/Linux 2.2.5, dynamically linked (uses shared libs), stripped cloud@rsas zzz]$ ./zzz usage : ./zzz string [cloud@rsas zzz]$ ./zzz aa fzzz(aa) = 7d9dd0c79619cbcabb8f5095f61da05f 2. 静态分析，看看程序用了那些外部函数： [cloud@rsas zzz]$ objdump -R zzz 0804aa14 R_386_JUMP_SLOT strncat 0804aa18 R_386_JUMP_SLOT fileno 0804aa1c R_386_JUMP_SLOT fprintf 0804aa20 R_386_JUMP_SLOT getenv 0804aa24 R_386_JUMP_SLOT system 0804aa28 R_386_JUMP_SLOT setresuid 0804aa2c R_386_JUMP_SLOT fchmod 0804aa38 R_386_JUMP_SLOT strcat 0804aa3c R_386_JUMP_SLOT printf 0804aa40 R_386_JUMP_SLOT getuid 0804aa44 R_386_JUMP_SLOT setreuid 0804aa48 R_386_JUMP_SLOT getpwnam 0804aa4c R_386_JUMP_SLOT exit 0804aa50 R_386_JUMP_SLOT memset 0804aa54 R_386_JUMP_SLOT strncpy 0804aa58 R_386_JUMP_SLOT fopen 0804aa5c R_386_JUMP_SLOT sprintf 0804aa60 R_386_JUMP_SLOT geteuid 0804aa64 R_386_JUMP_SLOT strcpy . . . . 可以看到有了我们感兴趣的： 溢出： strcpy、sprintf、strcat、(strncpy、 strncat也可能导致溢出) 格式串： printf、sprintf 执行外部命令： system + setreuid/setresuid 有 可能高权限执行我们的命令。 外部接口： getenv、fopen、fprintf。 条件竞争： fchmod 疑虑问题：setresuid/setreuid到底把权限去掉了 还是设高了还是设低了？联系的是同时出现了 getuid,geteuid。 3. 静态考查更多的外部接口 有getenv，那么到底getenv了哪些内容，fopen又 打开了哪个个文件？ [cloud@rsas zzz]$ strings zzz /lib/ld-linux.so.2 . . . . usage : ./zzz string fzzz( ) = %02x fzzz= ERR: string too long. LOGNAME LOGFILE logfile = %s LOGPATH ok : root user! ps -ef |sed s/r.*t//g |awk {print $1} 我们看到了感兴趣的： LOGNAME LOGFILE LOGPATH ok : root user! ps -ef |sed s/r.*t//g |awk {print $1} 4. 用ida反汇编，静态考查我们以上发现的兴趣点： .text:0804940E push offset aLogname ; LOGNAME .textcall _getenv .textadd esp, 4 .text:0804941B mov dword_804A924, eax .textpush offset aLogfile ; LOGFILE .textcall _getenv .text:0804942A add esp, 4 .text:0804973E add esp, 8 .textpush offset aLogname ; LOGNAME .textcall _getenv .text:0804974B add esp, 4 .text:0804