This is my Safe Programming Final Project

1. 安全程式設計
Noip2
Stack based buffer overflow
第五組：林昱辰
陳宗暉
蘇才維
吳尚浩
閻昱萱

2. 漏洞出處

3. 軟體介紹：Noip
Noip是全球最知名的動態DNS提供商，他們的動態更新客戶端存在於眾多的系統、軟體和嵌入式軟體中

4. 漏洞成因：

5. Summary:
File Format:ELF 32 bit
Dynamically linked
Not Stripped

6. Payload = (292 - 21)*nop + shellcode + ret_address
↑
buffer到ret address的bytes數 – shellcode bytes數
Shellcode 21個bytes
↓

7. SCRIPT

8. Nop Slide

9. DEMO

10. 結束

11. 才怪

12. 因為shellcode出了點意外，換了好多個都
無法提權，SO……我們決定做個小彌補

13. Noip2
Stack based buffer overflow BETA
利用ret2ibc+ROP繞過NX

14. DEP
Data Execution Prevention
可寫的地方不可執行，可執行的地方不可寫
gcc: -zexecstack(關閉NX)

15. shellcode
shellcode
shellcode
shellcode
STACK

16. ROP
Return Oriented Programming
返回導向編程
執行針對性的機器語言指令序列(=Gadget)
RET到自身含有ret的代碼上

17. Gadget
名詞：小機具、小組件
一段一段由ret組成的程式碼片段

18. CODE:
Func(argv1, argv2)
STACK
argv2ESP→
Assembly:
PUSH argv2

19. STACK
argv2
argv1ESP→
CODE:
Func(argv1, argv2)
Assembly:
PUSH argv2
PUSH argv1

20. STACK
argv1
argv2
Ret addrESP→
CODE:
Func(argv1, argv2)
Assembly:
PUSH argv2
PUSH argv1
call Func

21. STACK
argv2
argv1
Ret addr
Prev ebpESP→ CODE:
Func(argv1, argv2)
Assembly:
PUSH argv2
PUSH argv1
call Func
push EBP

22. argv2
argv1
Ret addr
Prev ebpEBP=ESP→ CODE:
Func(argv1, argv2)
Assembly:
PUSH argv2
PUSH argv1
call Func
push EBP
MOV EBP,ESP

23. STACK
argv2
argv1
Ret addr
Prev ebp
buffer
EBP→ CODE:
Func(argv1, argv2)
Assembly:
PUSH argv2
PUSH argv1
call Func
push EBP
MOV EBP,ESP
SUB ESP,8
ESP→

24. Ret2Libc
執行C語言程式通常都會載入
Libc裡面有很多好用的function
覆蓋返回地址為現有函數地址
※不能return到shellcode，就return到現有函式上
偽造堆疊，建立函數呼叫
AAAA
system()
ret_addr
ptr“/bin/bash”
STACK
HIGH
LOW
Ret_addr

25. Libc Function = Libc Base Address + Function Offset
↑ ↑
動態載入決定 固定不變
(NoASLR→固定)

26. SCRIPT

27. AAAA
gets_func@libc
pop_ret
gets_argv_addr
system@libc
AAAA
gets_argv_addr
Padding
讀/bin/bash字串進來
清空stack + Chain
存/bin/bash字串在bss segment
執行
不重要隨便打
system的參數(跟上面那個同地址)

28. DEMO

29. 結束

30. 真的啦