> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/useful-resources/exploit-development/linux-buffer-overflow-custom.md). # Linux 缓冲区溢出 - 自定义 自定义 Linux 缓冲区溢出笔记，用于构建漏洞利用、控制执行流、制作载荷并记录内存破坏方法论。 ## 自定义二进制文件的第一个示例（Pdmenu/exim）：
下载虚拟机 提取
> 第一个示例侧重于利用合法的 exim-4.84-7 二进制文件，它存在一个被标识为 CVE-2016-1531 的漏洞。该漏洞允许攻击者通过滥用某些环境变量，以特权执行命令。 * 在这种情况下，当我们访问用户 Paul 时，会分配给他一个 **Pdmenu** ，并赋予其某些功能（目录列表、文件编辑、执行 ping 等）：
* 要退出这个菜单，我们 **编辑一个文件**，例如（etc/host）：
* 在这种情况下， **vi** 被用作文本编辑器：
* 查看 **gtfobins**，如果按 vi 过滤，我们会得到退出 Pdmenu 并 **执行一个 shell**:
* 我们过滤 **SUID** 文件，并找到一个名为 exim 的文件：
* 使用 **searchsploit** 工具，我们搜索这个二进制文件可能存在的漏洞：
* 现在下载脚本，并使用 **python3** 这样在机器被攻陷后就可以加载它：
* 我们执行脚本，确实利用了该二进制文件的漏洞，因此我们获得 **root 权限**:
## 第二个示例（缓冲区溢出）：
下载存在漏洞的 Ubuntu 机器
安装该工具 Peda
> 第二个示例涉及一个 **缓冲区溢出** 在一个自定义的 [二进制文件](https://hack4u.io/wp-content/uploads/2023/04/custom) 在一台启用了主动防护和 ASLR 的 32 位 Linux 机器上。在这种情况下，我们重点利用一个具有 SUID 权限且由 root 拥有的二进制文件中的 ret2libc。通过缓冲区溢出，我们演示如何注入特权命令并提升用户权限。 \***缓冲区溢出** 需要覆盖某些系统寄存器，而且由于该二进制文件由用户创建并属于 root 组， **它将以特权用户身份运行**:
* 名为“custom”的二进制文件期望一个 **字符串输入** 而当它执行时，什么也不会发生：
* 但是如果我们输入一个 **非常长的字符串**，它会返回错误（core dumped）：
我们发送一个 **短字符串** AAAAAAAA，由此不会出现 **错误**: * 要深入分析该二进制文件，我们将使用 **gdb-peda** 工具。
* 但是如果我们发送 **很多字符**，会得到以下错误：
1. 首先要做的是 **确定字符串总数** 以覆盖寄存器（EIP）。 * 第一种方法是使用一个 **模式（pattern）** 来创建一个链 **经过精心设计的** （在这些情况下为 300 个字符），使我们在二进制文件中的执行：
* 在 **EIP**的响应中，我们知道 **下方可见的字符串** 是“AA8A”：
* 该 **自动** 模式是通过 `pattern offset $eip` 命令：
* 为了检查这一点，我们使用 **python3** 发送 112 个 A 字符，然后再加上最后 4 个 B： ```bash r $(python3 -c 'print("A"*112 + "B"*4)') ``` * 实际上，我们现在通过 **EIP** 它来确认结尾，它检测到最后 4 个 B：
2. 一旦我们知道字符串的最大数量，我们就 **检查 ASLR** 这将判断是否存在 **内存地址的随机性** 或没有： /- 使用以下命令，我们筛选出我们特别感兴趣的字符串，将二进制文件运行 10 次，看看它是否每次都变化，并查看 **C 库** 是否是随机的： 它确实是“随机”的
3. 这些 **32 位** 二进制文件的问题通常是，如果我们现在例如运行 **1000 次** A 并按固定字符串过滤，我们会看到每次 **它至少会重复一次**:
4. 现在的目标是首先找到 **EIP** 字符串（**system + exit + bin/\_sh**），它们将始终固定，并且对于执行一个 **以 root 身份运行 Bash** 如下示例所示，但使用 Python：
* 我们创建一个 **断点** 以便程序执行流在此处停止：
* 我们注入 **EIP** 的（system/exit/bin/\_sh）：
5. 一旦我们看到存在 **随机**，我们就需要使用 **暴力破解** 直到 **base/\_libc/\_addr** 等于所需值： /- 通过以下操作我们将看到 **正在运行的库** （在这种情况下 **libc.so**):
* 通过 **readelf**，我们对库进行筛选并搜索前面注入的变量，它们是（**exit 和 system**）及其代码：
* 为了找到字符串 **/bin/sh**，我们执行以下操作，并在前面添加一个 **0x00** 在开头：
以下 Python3 脚本将 **自动化所有暴力破解** 直到 **base/\_libc/\_addr** 相同： ```python #!/usr/bin/python3 import subprocess from struct import pack import sys offset = 112 before_eip = b"A" * 112 # 自定义 Linux 缓冲区溢出 base_libc_addr = 0xb7595000 system_addr_off = 0xb7d86db0 exit_addr_off = 0xb7d7a9e0 bin_sh_addr_off = 0xb7ea7b2b system_addr = pack("
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/zh/useful-resources/exploit-development/linux-buffer-overflow-custom.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.