04_CC++漏洞_栈溢出利用

栈的属性
• TOP 栈顶 • BASE 栈底
系统栈:内存的栈区
透明性概念
对于C语言这样的高级语言，系统栈的 PUSH，POP等堆栈平衡细节是透明的。 一般说来，只有在使用汇编语言开发程序 的时候，才需要和它直接打交道。 计算机中透明性概念: 计算机中存在,但对于 开发人员不需要了解的东西.
Company
LOGO
安全性编程方法
天津农学院 计算机科学与信息工程系 软件工程教研室 许晓华 xuxiaohua@
第4讲 栈溢出利用
4.1 系统栈的工作原理
栈与系统栈的区别: 栈:数据结构角度的栈,是一种先进后出的数 据表.
常见操作
• PUSH 进栈 • POP 出栈
栈从高到低扩展 数组，按人类的书写习惯，低 位在前，高位在后 整数，按人类的书写习惯，高 位在前，低位在后
当输入7个q， 7个q大于1234567，所以 authenticated 的值为0x00000001，不能通过 验证。 当输入8个q，“qqqqqqqq”大于1234567， authenticated 的值还是0x00000001，但 “qqqqqqqq”后面的字符串截断符 0x00会溢 出。 这溢出数组的一个字节 0x00 恰好把 authenticated变量改为 0x00000000 。 函数返回时，main函数一看authenticated是 0 ,就会通过密码验证.
跳转：按照函数返回地址跳回母函数中继续执行
函数返回时的指令序列
add xxx , esp //降低栈顶，回收当前的栈帧 pop ebp //将上一个栈帧底部位置恢复到ebp， retn //这条指令有两个功能：
a ) 弹出当前栈顶元素，即弹出栈帧中的返回地址。至 此,栈帧恢复工作完成。 b ) 让处理器跳转到弹出的返回地址，恢复调用前的代 码区
高级语言写出的程序经过编译链接，最终 会变成PE文件。当PE文件被装载运行后， 就成了所谓的进程。 如下图所示:
系统栈与函数调用
#include "stdafx.h" int func_B ( int arg_B1 , int arg_B2 ) { int var_B1 , var_B2 ; var_B1 = arg_B1 + arg_B2 ; var_B2 = arg_B1 - arg_B2 ; return var_B1 * var_B2 ; } int func_A ( int arg_A1 , int arg_A2 ) { int var_A ; var_A = func_B ( arg_A1 , arg_A2 ) + arg_A1 ; return var_A ; } int main ( int argc , char ** argv , char ** envp ) { int var_main ; var_main = func_A ( 4 , 3 ); printf("var_main is %d\n",var_main); return var_main ; }
4.3 修改函数返回地址
如果在刚才溢出的基础上，多溢出几个字 节，将下面的返回地址覆盖。就可以做到 劫持进程。 要将返回地址覆盖为什么地址呢？ 当然是通过验证的地址了，见下图。
然后输入密码. 出于字节对齐、容易辨认的目的，将 “ 4321 ”作为一个输入单元。
buffer [ 8 ] 共需要 2 个这样的单元 第 3 个输入单元将authenticated覆盖 第 4 个输入单元将前栈帧EBP值覆盖 第 5 个输入单元将返回地址覆盖
push ebp ; 保存旧栈帧的底部 mov ebp，esp ; 设置新栈帧的底部（栈帧切换） sub esp，xxx ; 设置新栈帧的顶部（抬高栈顶，为新栈 帧开辟空间）
例题
#include "stdafx.h" void fun(int a,int b) { int c=a+b; }
函数返回的步骤
保存返回值：通常将函数的返回值保存在寄存器 EAX中 弹出当前栈帧，恢复上一个栈帧,具体包括:
在堆栈平衡的基础上，给ESP加上栈帧的大小，降低 栈顶，回收当前栈帧的空间 将当前栈帧底部保存的前栈帧EBP值弹入EBP寄存器， 恢复出上一个栈帧 将函数返回地址弹给EIP寄存器
为什么 01234567 不行？ 因为字符串大小的比较是按字典序来的，所以 这个串小于“ 1234567 ” authenticated的值是 - 1 ，在内存里将按照补 码存负数，所以实际存的是 0xffffffff 。 那么字符串截断符 0x00 淹没后，变成 0xffffff00 ，还是非 0 ，所以没有进入正确分 支。
由于地址00401122无法在控制台输入，所 以，我们改造一下代码，将密码获取方式 改为从.txt文件中读取。
从.txt文件中读取密码

main() #include "stdafx.h" { int valid_flag=0; #include "string.h" char password[1024]; #include <stdio.h> FILE * fp; #define PASSWORD "1234567" if(!(fp=fopen("password.txt","rw+"))) int verify_password (char *password) { { exit(0); } int authenticated; fscanf(fp,"%s",password); char buffer[8]; valid_flag = verify_password(password); authenticated=strcmp(password, if(valid_flag) PASSWORD); { strcpy(buffer,password);//over printf("incorrect password!\n"); flowed here! } return authenticated; else { } printf("Congratulations! You have passed the verification!\n"); } fclose(fp); }
栈帧
当函数被调用时，系统栈会为这个函数开 辟一个新的栈帧，并把它压入栈中。 当函数返回时，系统栈会弹出该函数所对 应的栈帧。
调用时栈中的操作
在main函数调用func_A的时候，首先在自己的栈帧中压 入函数返回地址，然后为func_A创建新栈帧并压入系统栈 在func_A调用func_B的时候，同样先在自己的栈帧中压 入函数返回地址，然后为func_B创建新栈帧并压入系统栈 在func_B返回时，func_B的栈帧被弹出系统栈，func_A 栈帧中的返回地址被“露”在栈顶，此时处理器按照这个 返回地址重新跳到func_A代码区中执行 在func_A返回时，func_A的栈帧被弹出系统栈，main函 数栈帧中的返回地址被“露”在栈顶，此时处理器按照这 个返回地址跳到main函数代码区中执行
将上述代码，编译链接生成PE文件 在PE文件同目录的位置创建一个password.txt文 件。内容为43214321432143214321 用UltraEdit打开该文件,点击“切换十六进制模式”
将最后一个4321，改成22114011
将PE文件拖入OD，F9运行
4.4 代码植入
寄存器与函数栈帧
WIN32系统提供两个特殊的寄存器用于标识位 于系统栈栈顶的栈帧：
ESP: ( extended stack pointer ) 栈指针寄存器，指向系统栈最上面一个栈帧的栈顶 EBP: ( extended base pointer ) 基址指针寄存器，指向系统栈最上面一个栈帧的底 部
运行，密码输入qqqqqqq（7个q），不通 过 输入qqqqqqqq（8个q），居然通过了密 码验证 为什么？
先来了解一下大端机与小端机的概念。
大端机与小端机
大端机（big endian）
低地址存放最高有效位(MSB:Most Significant Bit) 例如：Java Virtual Machine
参数入栈：将参数从右向左依次压入系统栈中 返回地址入栈：将当前代码区调用指令的下一条 指令地址压入栈中，供函数返回时继续执行 代码区跳转：处理器从当前代码区跳转到被调用 函数的入口处 栈帧调整：具体包括:
保存当前栈帧状态值，以备后面恢复本栈帧时使用 （EBP入栈） 将当前栈帧切换到新栈帧（将ESP值装入EBP，更新 栈帧底部） 给新栈帧分配空间（把ESP减去所需空间的大小，抬 高栈顶）
ห้องสมุดไป่ตู้
小端机（little endian）
低地址存放最低有效位(LSB: Least Significant Bit) 例如：Intel x86
栈帧布局图
再来看一下，函数调用时的栈帧布局图
buffer[0~3] (ASCII: q q q q)
buffer[4~7] (ASCII: q q q null) authenticated (0x00000001) 前栈帧EBP 返回地址 形参:password ……
#include < stdio . h > #include < windows . h > #define PASSWORD "1234567" int verify_password ( char * password ) { int authenticated ; char buffer [ 44 ]; authenticated = strcmp ( password , PASSWORD ); strcpy ( buffer , password ); //over flowed here! return authenticated ; }