スタックバッファオーバーフローを用いたexploitコードの作成

Question

###前提・実現したいこと
現在セキュリティの勉強をしており、C言語のスクリプトにある脆弱性(スタックバッファオーバーフロー)を用いてexploitコードを作りたいです。

デバッガであるGDBを用いてC言語スクリプトのアセンブリを分析して、shellコード(こちらは作成済みなので大丈夫です,shellcode.h)を引数として送って実行させ,ルートのシェルを起動させるというexploitコードをC言語で書きたいです。

スタックバッファオーバーフローによってshellコードの先頭アドレスにリターンさせるようにすることで、shellコードを実行させられるということだと思うのですが、
shellコードの先頭アドレスはどうやって求めれば良いのか。
そもそもこの解釈で当たっているのか。
当たっていなければどうやってshellコードを実行させるのか。
ということが知りたいです。
環境はLinuxで、ASLRやSSPなどのセキュリティ機構は特にありません。

言葉足らずの箇所も多々あると思いますので、その都度ご質問いただければと思います。
お手数ですが、よろしくお願いいたします。

###該当のソースコード
以下が脆弱性のあるソースコードtarget.c
こちらは特にいじりません。

#include <stdio.h>
#include <stdlib.h>
#include <string.h>

void strcpyn(char *out, int outl, char *in)
{
  int i, len;

  len = strlen(in);
  if (len > outl)
    len = outl;

  for (i = 0; i <= len; i++)
    out[i] = in[i];
}

void fuga(char *arg)
{
  char buf[101];

  strcpyn(buf, sizeof buf, arg);
}

void hoge(char *argv[])
{
  fuga(argv[1]);
}

int main(int argc, char *argv[])
{
  if (argc != 2)
    {
      fprintf(stderr, "target: argc is not 2\n");
      exit(EXIT_FAILURE);
    }
  hoge(argv);
  return 0;
}

以下は攻撃に用いるexploitコードの骨組みです。
以下を用いてexploitコードを作りたいです。
こちらが今回いじるコードです。

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <unistd.h>
#include "shellcode.h"

#define TARGET "/target"

int main(void)
{
  char *args[3];
  char *env[1];

  args[0] = TARGET; args[1] = "何かしらの値"; args[2] = NULL;
  env[0] = NULL;

  return 0;
}

Answer 1

この条件でそもそもバッファオーバーフロー起きないです。
脆弱性が有るとはいえません。

  if (len > outl)
    len = outl;

正しく脆弱性を作るなら、こう。
（一番簡単な例です。他にも作り用は有りますが、簡単のため割愛します。）

void strcpyn(char *out, int outl, char *in)
{
  int i, len;
  len = strlen(in);
  for (i = 0; i <= len; i++)
    out[i] = in[i];
}

その上で、libc内にあるsystem関数などを叩くとシェルを奪えます。
ASLRがないとのことなので、libcのアドレスの推測は非常に簡単です。
printf関数からの相対オフセットを計算して
引数（"/bin/sh\0"）へのポインタをBOF使ってセットして、system関数に飛ばしてやるだけです。

ASLRが有る場合は、ROPつかってやるだけなので手順はそんなに変わりません。
libcのアドレス推測はASLRがある場合は、インフォメーションリーク系の脆弱性
（Format string bug等）を組み合わせることによって
メモリアドレスのリークをし、その後オフセット計算を行いExploitする。

と言う手順が必要です。ただ面倒になるだけでやる事の本質は同じです。
ASLRが無い場合は、配置される仮想アドレスが固定アドレスなので、推測は非常に容易です。
バイナリが手元にある場合はその配置先のアドレスは readelf コマンドで確認できます。
以上。

Comments

[omiteratail]

v_v さん

丁寧かつ迅速なご回答ありがとうございます。
当方、勉強不足で大変申し訳ないのですが、
"""
libcのアドレスの推測は非常に簡単です。
printf関数からの相対オフセットを計算して
引数（"/bin/sh\0"）へのポインタをBOF使ってセットして、system関数に飛ばしてやるだけです。
"""
という部分をもう少し詳しく教えていただけると理解が深まります。。。
インターネットで調べてみてもいまいちわかりませんでした。。。
お手数をおかけしてしまい申し訳ございませんが、よろしくお願いいたします。