劫持函數(shù)調(diào)用

ubuntuer

看到有個帖子討論劫持fork的問題，godbach的內(nèi)核系統(tǒng)調(diào)用的問題，其實我以前分析過adore-ng的源碼，在CU也可以收到！可以很好的劫持系統(tǒng)調(diào)用，說到這里就想能不能劫持諸如GLIBC的函數(shù)呢....

我們先從下面一段例程：

1. 
   
2. /* 文件名：verifypasswd.c */
   
3. /* 這是一段判斷用戶口令的程序，其中使用到了標準C函數(shù)strcmp*/
   
4. 
   
5. #include <stdio.h>
   
6. #include <string.h>
   
7. 
   
8. 
   
9. int main(int argc, char **argv)
   
10. {
    
11. char passwd[] = "password";
    
12. 
    
13. if (argc < 2) {
    
14.         printf("usage: %s <password>\n", argv[0]);
    
15.         return -1;
    
16. }
    
17. 
    
18. if (!strcmp(passwd, argv[1])) {
    
19.         printf("Correct Password!\n");
    
20.         return 1;
    
21. }
    
22. 
    
23. printf("Invalid Password!\n");
    
24. return 0;
    
25. }
    

復(fù)制代碼

在上面這段程序中，我們使用了strcmp函數(shù)來判斷兩個字符串是否相等。下面，我們使用一個動態(tài)函數(shù)庫來重載strcmp函數(shù)：

1. 
   
2. /* 文件名：hack1.c */
   
3. #include <stdio.h>
   
4. #include <string.h>
   
5. 
   
6. int strcmp(const char *s1, const char *s2)
   
7. {
   
8.         printf("hack function invoked. s1=<%s> s2=<%s>\n", s1, s2);
   
9.         return 0;
   
10. }
    

復(fù)制代碼

編譯程序：
$ gcc -o verifypasswd verifypasswd.c
$ gcc -shared -o hack.so hack.c


測試一下程序：（得到正確結(jié)果）
$ ./verifypasswd asdf
Invalid Password!

設(shè)置LD_PRELOAD變量：（使我們重寫過的strcmp函數(shù)的hack.so成為優(yōu)先載入鏈接庫）
         $ export LD_PRELOAD="./hack.so"

再次運行程序：
$ ./verifypasswd  asdf
hack function invoked. s1=<password> s2=<asdf>
Correct Password!

被劫持了，但是這種太過于惡劣，如果我們還是先正常的strcmp呢

我們可以看到，1）我們的hack.so中的strcmp被調(diào)用了。
              2）主程序中運行結(jié)果被影響了。如果這是一個系統(tǒng)登錄程序，那么這也就意味著我們用任意口令都可以進入系統(tǒng)了。

被劫持了，但是這種太過于惡劣，如果我們還是想獲得用戶輸入之后正常的strcmp呢

1. 
   
2. /* 文件名：hack2.c */
   
3. #include <stdio.h>
   
4. #include <string.h>
   
5. #include <dlfcn.h>
   
6. 
   
7. int strcmp(const char *s1, const char *s2)
   
8. {
   
9.    int (*hac_strcmp)(const char*, const char*);
   
10. 
    
11.    printf("hack function invoked. s1=<%s> s2=<%s>\n", s1, s2);
    
12. 
    
13.   *(void **)(&hac_strcmp) = dlsym(RTLD_NEXT, "strcmp");
    
14.   if(dlerror()) {
    
15.     errno = EACCES;
    
16.     return -1;
    
17.   }
    
18. 
    
19.    return (*hac_strcmp)(s1, s2);
    
20. }
    

復(fù)制代碼

dlsym用法不是太懂的大家可以google之!



最后是我自己的測試結(jié)果：

1. 
   
2. [root@nfs-server hack]# ls
   
3. hack1.c  hack2.c  test.c
   
4. [root@nfs-server hack]# gcc -Wall -o test test.c
   
5. [root@nfs-server hack]# ./test aaa
   
6. Invalid Password!
   
7. [root@nfs-server hack]# gcc -fPIC -shared -o hack.so hack1.c
   
8. [root@nfs-server hack]# export LD_PRELOAD="./hack.so"
   
9. [root@nfs-server hack]# ./test aaa
   
10. hack function invoked. s1=<password> s2=<aaa>
    
11. Correct Password!
    
12. [root@nfs-server hack]# export LD_PRELOAD=""//大家可以嘗試下不加這句的結(jié)果^_^
    
13. [root@nfs-server hack]# gcc -fPIC -shared -o hack.so hack2.c -ldl
    
14. [root@nfs-server hack]# ./test aaa
    
15. Invalid Password!
    
16. [root@nfs-server hack]# export LD_PRELOAD=""
    
17. [root@nfs-server hack]# ./test aaa
    
18. Invalid Password!
    
19. [root@nfs-server hack]# export LD_PRELOAD="./hack.so"
    
20. [root@nfs-server hack]# ./test aaa
    
21. hack function invoked. s1=<password> s2=<aaa>
    
22. Invalid Password!
    
23. [root@nfs-server hack]# export LD_PRELOAD=""
    

復(fù)制代碼

langue

你說的是這個？
http://www.embedded-bits.co.uk/?p=9

皇家救星

不明白為什么會調(diào)用hack.so的strcmp  

為什么不是其它名字.so的strcmp

ubuntuer

因為設(shè)置了LD_PRELOAD環(huán)境變量