c - Notesearch 漏洞利用异常 (Hacking : Art of Exploitation)

Question

这个问题是关于《黑客:剥削的艺术》第二版第 121 页上的程序 notesearch 的利用。

在漏洞利用中有一些我不明白的地方:

When the System executes the ./notesearch 'xyz....' the argument 'xyz...' overflows the string buffer in the child program thereby overwriting the return address....that much is clear.

这里的假设是 notesearch 程序的栈帧位于调用 exploit 的栈帧之上。当编译版本存在于同一系统上时，这适用。

我的第一个问题是 1. 即使作为远程 hack，它也能工作吗？

我的第二个问题是2. 由于缓冲区已被用于覆盖包括返回地址和返回地址之外的所有变量，notesearch 程序如何按预期工作？位于此堆栈框架中并决定是否打印消息的变量(如“打印”等)似乎都可以正常工作。即使调用函数位于相关堆栈框架的顶部，也就是正在被淹没的字符串缓冲区所在的位置，但仍有某些关键变量会被覆盖。

问题编号3.鉴于 String 缓冲区是在 notesearch 开始执行后插入的新堆栈帧的一部分，缓冲区将覆盖该 notesearch 程序中的所有给定变量。缓冲区也是搜索字符串的值。根据程序逻辑，由于搜索字符串与消息不匹配，程序不应输出用户消息的详细信息。在这种情况下，会出现消息。我想知道为什么？

Answer 1

(供引用:本书是http://www.tinker.tv/download/hacking2_sample.pdf，代码可从http://www.nostarch.com/hacking2.htm免费下载。)

继续看书；另一个例子在第 122 页给出，然后有大量的解释性文字说明了所有关于漏洞利用的信息。

这是 notesearch 代码的相关部分:

int main(int argc, char *argv[]) {
    int userid, printing=1, fd; // file descriptor
    char searchstring[100];

    if(argc > 1)                        // If there is an arg
        strcpy(searchstring, argv[1]);   //   that is the search string
    else                                // otherwise
        searchstring[0] = 0;             //   search string is empty

    userid = getuid();
    fd = open(FILENAME, O_RDONLY);   // open the file for read-only access

你写道:

The assumption here is that the notesearch program's stack frame comes ontop of the calling exploit's Stack frame.

不，那是错误的。这里只有一个堆栈帧是相关的:notesearch 中的 main() 函数的堆栈帧。我们通过 exploit_notesearch 中的 system() 调用调用 ./notesearch xyz... 的事实是无关紧要的；我们也可以直接在 bash 命令行上调用 ./notesearch xyz...，或者欺骗其他进程(例如，bash)执行它代表我们。

1. Will this work even as a remote hack?

当然。

2. Since the buffer has been used to overwrite all variables including and beyond the return address, how does the notesearch program work as intended?

嗯，它并没有真的按预期工作。再看看输出:

reader@hacking:~/booksrc $ gcc exploit_notesearch.c
reader@hacking:~/booksrc $ ./a.out
[DEBUG] found a 34 byte note for user id 999
[DEBUG] found a 41 byte note for user id 999
-------[ end of note data ]-------
sh-3.2#

给你一个 shell 显然不算“按预期工作”。但甚至在此之前，该程序声称在 /var/notes 中找到了 userid 999 的注释，这可能表明它有点困惑。作为恶意黑客，我们不关心 notesearch 程序的垃圾输出；我们只关心它最终到达 main() 的末尾并返回到我们的 shellcode，让我们可以访问 shell。

但是，如果您想知道我们如何在不覆盖局部变量 userid、printing 和 fd 的情况下设法覆盖返回地址，至少有三种明显的可能性:

A. 也许这些变量分配在堆栈的searchstring 之下。

B.也许这些变量是在寄存器中而不是在堆栈中分配的。

C. 绝大多数情况下，这些变量正在被覆盖，但它们的初始值对程序来说根本无关紧要。例如，userid 可以获取任何值，因为该垃圾值将立即被下一行的 getuid() 覆盖。初始值重要的唯一变量是打印。甚至 打印 也只会在它恰好得到值 0 时改变程序的行为——而它不能得到值 0，因为根据设计，我们要复制的数据完全由非零字节组成。