10分钟学习缓冲区溢出(1)

到现在才做这样的尝试,真是不好意思.不过还是写出吧. 先讲讲如何通过改写返回地址来改变程序流程

代码: w32下编译vc6

缓冲区溢出就是:

1函数调用要把返回地址保留放在栈中,当程序返回时,ret指令会把栈中的地址弹出到ip计数器,然后继续执行

2栈中的内容可能被改写,当内容覆盖了返回地址后,程序就会跳转到别的地方执行.

下面举个例子,看不懂没关系

低------------------------buffer2-buffer1-ebp-retAddr-para---------高

当输出的内容超过缓冲区长度后,就会覆盖ebp和返回地址.当然,一般的输入只会造成段错误,精心构建的缓冲区溢出代码才会影响软件

#include  < stdio.h >
void  function( int  a,  int  b,  int  c)  ... { 
   char buffer1[5]; 
   char buffer2[10]; 
   int *ret; 
 //栈示意图

    //低------------------------buffer1-ebp-returnAddress-参数1-参数2-参数3-----------高
   ret =(int *) (buffer1 + 12); //加12是因为buffer1占8个字节(由于内存对齐),然后原来的ebp占4个

       //ret就是指向返回值
   
   (*ret) += 10; //为什加10后面会说
}  
 
void  main()  ... { 
  int x; 
 
  x = 0; 
  function(1,2,3); //我们的目标是跳过x=1的赋值,直接执行printf
  x = 1; 
  printf("%d ",x); 
}  

 

先看看main的反汇编代码.用vc6的debug功能,运行中设置断点,然后在main上面右键选 反汇编

12 :    void  main()  ... {//下面是c和汇编混合写的,汇编语句表示的是*上面一句*c语言的功能是如何实现!!
00401060   push        ebp
00401061   mov         ebp,esp//上面两句是过场,每个函数都要保存ebp,这样建立了一个所谓的帧
00401063   sub         esp,44h//sp向下,给局部变量提供空间,装buffer1和buffer2
00401066   push        ebx
00401067   push        esi
00401068   push        edi
00401069   lea         edi,[ebp-44h]
0040106C   mov         ecx,11h
00401071   mov         eax,0CCCCCCCCh//把中间的内容全部填成ccccc,防止信息泄露用
00401076   rep stos    dword ptr [edi]
13:     int x;
14:
15:     x = 0;
00401078   mov         dword ptr [ebp-4],0
16:     function(1,2,3);
0040107F   push        3
00401081   push        2
00401083   push        1
00401085   call        @ILT+0(function) (00401005)//在这个call了,我们要跳过下面x=1的语句
0040108A   add         esp,0Ch//在这里我注意到call后面的语句地址是08a,这个值会被压栈,我们要改这个值
17:     x = 1;
0040108D   mov         dword ptr [ebp-4],1//我们要跳过
18:     printf("%d ",x);
00401094   mov         eax,dword ptr [ebp-4]//这是我们希望执行的语句,94-8a=10,我们返回地址要加10
00401097   push        eax
00401098   push        offset string "ret %x" (00420f74)
0040109D   call        printf (004010d0)
004010A2   add         esp,8
19:   }
004010A5   pop         edi
004010A6   pop         esi
004010A7   pop         ebx
004010A8   add         esp,44h
004010AB   cmp         ebp,esp
004010AD   call        __chkesp ( 00401150 )
004010B2   mov         esp,ebp
004010B4   pop         ebp
004010B5   ret

 

右建在vc里面添加寄存器,和内存查看的窗口,你会用的着的.

这是function里面的两句做的事

7:       ret =(int *) (buffer1 + 12);
0040B7D8   lea         eax,[ebp+4] //ebp+4是返回地址,放入eax 

0040B7DB   mov         dword ptr [ebp-18h],eax//把这个地址放入ret
8:
9:       (*ret) += 10;//修改这个地址
0040B7DE   mov         ecx,dword ptr [ebp-18h]
0040B7E1   mov         edx,dword ptr [ecx]
0040B7E3   add         edx,0Ah
0040B7E6   mov         eax,dword ptr [ebp-18h]
0040B7E9   mov         dword ptr [eax],edx
10:   }

 

执行完这些以后,返回地址就从8a改成了94.

0012FF20  0040108A 改前 
0012FF24  00000001 
0012FF28  00000002 
0012FF2C  00000003

改后

0012FF20  00401094 
0012FF24  00000001 
0012FF28  00000002 
0012FF2C  00000003

最后ret会把94这个地址弹到ip,然后下面就跳过了x=1这句了

不过程序最后会在_chkesp函数里面出错,原因是我们虽然跳过了x=1

的赋值语句,也跳过了汇编中0040108A   add         esp,0Ch这句,这句的目的是让esp回到调用前的位置.

由于调用事压了1,2,3这三个数,所以要加0c=12个字节.

没有这句esp就和开始调用不一致拉.不过没有关系.缓冲区溢出时我们的代码会用exit()退出,所以根本运行不到后面的内容.

eof