从零开始：手把手教你用evilPatcher加固AWD PWN题（支持Ubuntu 16/18/20）
从零构建AWD PWN题防御体系：基于evilPatcher的实战指南
在CTF竞赛的攻防对抗（AWD）模式中，PWN题往往成为决定胜负的关键战场。本文将系统性地介绍如何利用evilPatcher工具构建完整的防御方案，涵盖从环境配置到高级防护策略的全流程实践。
1. 防御体系基础构建
现代AWD竞赛对PWN题的防御已从简单的漏洞修复发展为系统性的安全加固。evilPatcher作为专为CTF设计的通防工具，其核心优势在于：
- 非侵入式修改：平均修改字节数<0x100，不改变文件头信息
- 架构全覆盖：同时支持i386和amd64架构程序
- 灵活规则配置：允许自定义沙箱规则应对不同攻击场景
- 版本兼容性：实测支持Ubuntu 16.04/18.04/20.04环境
典型防御场景中的系统调用拦截策略：
| 危险系统调用 | 拦截必要性 | 常见利用方式 |
|---|---|---|
| execve | 必须拦截 | getshell |
| open | 建议拦截 | 文件读取 |
| openat | 建议拦截 | 目录遍历 |
| ptrace | 可选拦截 | 调试干扰 |
2. 环境配置与工具链搭建
完整的防御体系需要以下组件协同工作：
# 基础依赖安装 sudo apt update && sudo apt install -y \ python3-dev \ libssl-dev \ build-essential \ ruby-dev # pwntools安装（Python3环境） pip3 install --upgrade pwntools # seccomp-tools安装 gem install seccomp-tools工具链验证步骤：
- 检查python环境版本：
python3 --version（需≥3.6） - 验证pwntools安装：
python3 -c "import pwn; print(pwn.__version__)" - 测试seccomp-tools：
seccomp-tools --version
常见环境问题解决方案：
- Ruby版本冲突：使用RVM管理多版本Ruby环境
- Python兼容性问题：建议使用virtualenv创建隔离环境
- 架构不匹配：确认工具链与目标程序架构一致（x86/x64）
3. 沙箱规则深度解析
evilPatcher的核心防御能力来源于seccomp沙箱规则。规则文件采用类汇编语法，典型结构如下：
A = sys_number ; 获取系统调用号 A >= 0x40000000 ? dead : next ; 过滤非常规调用 A == execve ? dead : next ; 拦截execve A == open ? dead : next ; 拦截open return ALLOW ; 放行其他调用 dead: return KILL ; 终止违规进程进阶规则配置技巧：
- 条件拦截：基于参数值的精细控制
A == open ? check_path : next check_path: A == arg1 ? dead : next # 检查第一个参数- 白名单模式：仅允许特定调用
A == read ? next : dead A == write ? next : dead- 架构适配：处理x86/x64调用号差异
A == 0x3b ? dead : next # x64 execve A == 0x0b ? dead : next # x86 execve4. 实战加固流程演示
以典型栈溢出漏洞程序为例，完整加固流程：
- 漏洞分析阶段
checksec ./vuln_program → 确认程序保护机制（NX/PIE/Canary等） seccomp-tools dump ./vuln_program → 分析现有沙箱规则- 规则选择与定制
# 从预设规则中选择或新建 rule_file = "sandboxs/disable_exec.asm" # 或自定义规则 custom_rule = """ A == execve ? dead : next A == openat ? dead : next return ALLOW dead: return KILL """- 应用加固补丁
python3 evilPatcher.py vuln_program disable_exec.asm → 生成vuln_program.patch mv vuln_program.patch vuln_program_secured- 效果验证测试
from pwn import * p = process('./vuln_program_secured') p.sendlineafter('>', 'id') # 尝试执行命令 → 应收到进程被终止的信号5. 高级防御策略
针对不同题型的定制化方案：
栈题防御矩阵
- 基础防护：禁用execve/open
- 增强防护：限制mmap/mprotect调用
- 终极防护：启用PTRACE_TRACEME自监控
堆题防御策略
- 关键函数劫持：替换free为安全版本
- 资源限制：控制malloc最大尺寸
- 时间熔断：设置alarm缩短进程生命周期
PIE处理技巧
# 在规则中处理PIE偏移 if is_pie: apply_pie_patch(elf, shellcode) # 需要计算相对偏移而非绝对地址6. 典型问题排查指南
| 现象 | 可能原因 | 解决方案 |
|---|---|---|
| 补丁后程序崩溃 | .eh_frame段权限不足 | 使用patchelf添加执行权限 |
| 规则未生效 | 架构不匹配 | 检查file输出确认架构 |
| 性能下降 | 规则过于复杂 | 优化规则顺序，简单规则前置 |
| 兼容性问题 | glibc版本差异 | 在目标环境重新编译测试 |
调试模式启用
python3 evilPatcher.py target rules/exec.asm 1 → 输出详细处理过程7. 防御体系效能评估
建立量化评估指标：
防护覆盖率
- 关键系统调用拦截率
- 漏洞利用链阻断点数量
性能影响
- 平均指令执行开销
- 进程启动时间增量
隐蔽性指标
- 文件修改字节数
- 元数据变化检测
实际测试数据对比（Ubuntu 20.04环境）：
| 指标项 | 原始程序 | 加固后 | 差异 |
|---|---|---|---|
| 文件大小 | 8720B | 8752B | +0.37% |
| 启动时间 | 1.2ms | 1.3ms | +8.3% |
| execve拦截 | 允许 | 拦截 | 100% |
8. 持续防御演进
前沿防御技术探索：
- 动态规则加载：根据运行时行为调整策略
- 控制流完整性：结合CFI技术增强防护
- 机器学习检测：识别异常系统调用序列
社区资源推荐：
- seccomp-bpf高级用法
- Linux安全模块开发
- CTF防御技术前沿