c - 缓冲区溢出解释

Question

我制作了这个简单的密码验证程序，我试图溢出缓冲区数组以将 auth 变量更改为 1，我设法做到了，除了我只能将 auth 变量更改为字符 1 而不是小数1、我该怎么做？

#include <stdio.h>
#include <stdlib.h>
#include <string.h>

int main(int argc, char *argv[]){

char buffer[16];
int auth=0;
strcpy(buffer, argv[1]);

if(strcmp(buffer,"password")==0)
    auth=1;
else
    auth=0;

if(auth)
    printf("Granted");



 return 0;

}

Answer 1

以下信息来 self 的 Ubuntu-14.04 系统上的运行，使用 gcc 4.8.4 版作为我的编译器，gdb 7.7.1 版作为我的调试器

首先，缓冲区溢出是 strcpy 函数的结果，如果您溢出 buf 以便它覆盖 auth 的内存位置，但以下如果-else block 将覆盖您的更改。

其次，您可以通过查看调试器中的堆栈来了解发生了什么。我通过将 auth 初始化为 0xbbbbbbbb 对您的代码进行了轻微修改(这样我就可以在此处找到 auth 位于堆栈中)。

在 main 上设置断点并进入函数，我们可以检查各种寄存器的值:

   (gdb) info reg
   rax            0x0   0
   rbx            0x0   0
   rcx            0x0   0
   rdx            0x7fffffffdf30    140737488346928
   rsi            0x7fffffffdf18    140737488346904
   rdi            0x2   2
   rbp            0x7fffffffde30    0x7fffffffde30
   rsp            0x7fffffffddf0    0x7fffffffddf0
         [... some lines removed ...]
   rip            0x400652  0x400652 <main+37>
   eflags         0x246 [ PF ZF IF ]
   cs             0x33  51
   ss             0x2b  43
   ds             0x0   0
   es             0x0   0
   fs             0x0   0
   gs             0x0   0

从这里我们可以看到堆栈从0x7fffffffddf0延伸到0x7fffffffde30。现在在调用 strcpy 之前停止，我们可以看一下堆栈:

(gdb) x/76xb $rsp
0x7fffffffddf0: 0x18    0xdf    0xff    0xff    0xff    0x7f    0x00    0x00
0x7fffffffddf8: 0x1d    0x07    0x40    0x00    0x02    0x00    0x00    0x00
0x7fffffffde00: 0x30    0xde    0xff    0xff    0xff    0x7f    0x00    0x00
0x7fffffffde08: 0x00    0x00    0x00    0x00    0xbb    0xbb    0xbb    0xbb
0x7fffffffde10: 0xd0    0x06    0x40    0x00    0x00    0x00    0x00    0x00
0x7fffffffde18: 0x40    0x05    0x40    0x00    0x00    0x00    0x00    0x00
0x7fffffffde20: 0x10    0xdf    0xff    0xff    0xff    0x7f    0x00    0x00
0x7fffffffde28: 0x00    0x2b    0x25    0x07    0xdd    0x7a    0xc0    0x6d
0x7fffffffde30: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde38: 0x45    0x6f    0xa3    0xf7

看这里，我们可以看到 auth 位于 0x7fffffffde0c 的内存地址。

我将命令行参数设置为 passwordAAAAAAAA111，现在我们可以单步执行 strcpy 调用并再次查看内存:

(gdb) x/76xb $rsp
0x7fffffffddf0: 0x18    0xdf    0xff    0xff    0xff    0x7f    0x00    0x00
0x7fffffffddf8: 0x1d    0x07    0x40    0x00    0x02    0x00    0x00    0x00
0x7fffffffde00: 0x30    0xde    0xff    0xff    0xff    0x7f    0x00    0x00
0x7fffffffde08: 0x00    0x00    0x00    0x00    0xbb    0xbb    0xbb    0xbb
0x7fffffffde10: 0x70    0x61    0x73    0x73    0x77    0x6f    0x72    0x64
0x7fffffffde18: 0x41    0x41    0x41    0x41    0x41    0x41    0x41    0x41
0x7fffffffde20: 0x31    0x31    0x31    0x31    0x00    0x7f    0x00    0x00
0x7fffffffde28: 0x00    0x2b    0x25    0x07    0xdd    0x7a    0xc0    0x6d
0x7fffffffde30: 0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x7fffffffde38: 0x45    0x6f    0xa3    0xf7

(gdb)

由此，我们可以看到 auth 的值没有被修改(注意内存中从 0x7fffffffde0c 开始的四个 0xbb 仍然存在)。我们现在还可以看到密码在内存中的存储位置，它从 0x7fffffffde10 开始。我使用的四个“A”是四个 0x41 所在的位置，我使用的四个“1”是四个 0x31 所在的位置

因此，在我的系统上，我看不到可以溢出到 auth 变量中的方法。

最后，您最初提出的问题，请记住命令行参数被视为字符数组，因此在命令行中传递一些 AAAA1 行将导致数组 [0x41 0x41 0x41 0x41 0x31] 被传递给你的程序。您希望程序接收的实际上是 [0x41 0x41 0x41 0x41 0x01 0x00 0x00 0x00](假设是 32 位小端架构)。您将面临两个问题，1. 0x01是不可打印的字符2. 0x00作为空终止符将在第一个空处停止字符串输入。

对于问题 2，您无能为力，只需简单输入即可；然而，正如其他人所建议的那样，围绕问题 1 的解决方案是创建一个驱动程序，以您想要的方式构建输入缓冲区，然后将其传递给程序。