c - 堆栈缓冲区溢出导致的怪异执行路径

Question

我读了一些关于堆栈缓冲区溢出的文章，比如 this一，并了解了攻击者如何通过覆盖函数指针来利用堆栈缓冲区溢出错误。然后我写了一个小程序来演示攻击:

#include <stdio.h>
#include <string.h>

void fun1 ( char * input ) {
    char buffer[10];
    strcpy( buffer, input );
    printf( "In fun1, buffer= %s\n", buffer );
}

void fun2 ( void ) {
    printf ( "HELLO fun2!\n" );
}

int main ( int argc, char * argv[] )
{
    printf ( "Address of fun2: %p\n", fun2 );
    fun1( "abcdefghijklmnopqrstuv\x52\x84\x04\x08" );
    return 0;
}

该程序是在 Fedora 14 x86 下使用 GCC 4.5.1 编译的。以下是输出:

$ ./exp01

Address of fun2: 0x8048452

In fun1, buffer= abcdefghijklmnopqrstuvR�

HELLO fun2!

HELLO fun2!

我们可以看到fun2()调用成功了，但是不知道为什么跑了两次。然后我 GDBed 它(见下文)。 (我只知道一些关于GDB的基本说明╮(￣▽￣)╭)

我在谷歌上搜索了一些关键字，如“__libc_csu_fini()”，但没有找到一个明确的方法来帮助我理解程序的执行路径。我对编译器和进程的内部结构知之甚少，所以我认为我可能必须找到一些详细描述这些东西的书籍或文章。有什么建议吗？谢谢!

---

GDB 记录:

(gdb) list

7 printf( "In fun1, buffer= %s\n", buffer );

8 }

9

10 void fun2 ( void ) {

11 printf ( "HELLO fun2!\n" );

12 }

13

14 int main ( int argc, char * argv[] )

15 {

16 printf ( "Address of fun2: %p\n", fun2 );

(gdb)

17 fun1( "abcdefghijklmnopqrstuv\x52\x84\x04\x08" );

18 return 0;

19 }

(gdb) break 16

Breakpoint 1 at 0x804846f: file hello.c, line 16.

(gdb) run

Starting program: /home/yuliang/test/hello

Breakpoint 1, main (argc=1, argv=0xbffff394) at hello.c:16

16 printf ( "Address of fun2: %p\n", fun2 );

Missing separate debuginfos, use: debuginfo-install glibc-2.13-2.i686

(gdb) step

Address of fun2: 0x8048452

17 fun1( "abcdefghijklmnopqrstuv\x52\x84\x04\x08" );

(gdb)

fun1 (input=0x804859a "abcdefghijklmnopqrstuvR\204\004\b") at hello.c:6

6 strcpy( buffer, input );

(gdb)

7 printf( "In fun1, buffer= %s\n", buffer );

(gdb)

In fun1, buffer= abcdefghijklmnopqrstuvR�

8 }

(gdb)

fun2 () at hello.c:10

10 void fun2 ( void ) {

(gdb)

11 printf ( "HELLO fun2!\n" );

(gdb)

HELLO fun2!

12 }

(gdb)

0x08048500 in __libc_csu_fini ()

(gdb)

Single stepping until exit from function __libc_csu_fini,

which has no line number information.

fun2 () at hello.c:10

10 void fun2 ( void ) {

(gdb)

11 printf ( "HELLO fun2!\n" );

(gdb)

HELLO fun2!

12 }

(gdb)

Cannot access memory at address 0x76757477

(gdb)

Single stepping until exit from function __libc_csu_init,

which has no line number information.

0x009aae36 in __libc_start_main () from /lib/libc.so.6

(gdb)

Single stepping until exit from function __libc_start_main,

which has no line number information.

Program exited with code 0241.

(gdb)

Answer 1

当在 gdb 中运行您的程序时，在 strcpy() 之前不久中断并查看栈帧(即保存 eip 的存储位置)。然后运行直到 printf() 之后不久，再次查看存储的 eip(命令是 info frame)。

由于您将函数 fun2() 的地址传递给 fun1() 它将覆盖保存的 eip，并且一旦调用返回(在您的情况下是隐含的)将执行下一条指令(由 eip 给出，在您的情况下它是 fun2() 的地址)

别忘了阅读 Smashing the stack for fun and profit通过 aleph1