整数溢出知识

整数溢出

​ 整数溢出在pwn中属于比较简单的内容，当然并不是题目比较简单，而是整数溢出本身并不复杂，情况也比较少。但是整数溢出本身是无法利用的，需要结合其他手段才能达到利用的目的。

整数的运算

​ 计算机并不能储存无限大的整数，计算机中的整数类型代表的数值知识自然数的一个子集，。比如在32为C程序中，unsigned int类型的长度是32位，能表示的最大的数是0xffffffff。如果将这个数加1，其结果0x100000000就会超过32位能表示的范围，而只能取其低32位，也就是说，最后这个数将变成0。这就是无符号上溢。
​ 计算机中有4中溢出情况。以32位整数为例。

• 无符号上溢：无符号数0xffffffff加1变为0的情况。
• 无符号下溢：无符号数0减去1变为0xffffffff的情况。
• 有符号上溢：有符号数正数0x7fffffff加1变为负数0x80000000，即十进制-2147483648的情况。
• 有符号下溢：有符号负数0x80000000减去1变为正数0x7fffffff的情况。
  ​ 除此之外，有符号数字与与无符号数直接的转换会导致整数大小突变。比如，有符号数字-1和无符号数字0xffffffff的二进制表示是相同的，二者直接转换会导致程序产生非预期的效果。

整数溢出如何利用

​ 整数溢出虽然很简单，但是利用起来也不是很容易。整数溢出不像栈溢出等内存破坏可以直接通过覆盖内存进行利用，常常需要进行一定转换才能溢出。常见的方式有两种。

1. 整数溢出转换成缓冲区溢出
   整数溢出可以将一个很小的数突变成很大的数。比如，无符号下溢可以将一个表示缓冲区大小的较小的数通过减法变成一个超大的整数。导致缓冲区溢出。
   另一种情况是通过输入负数的办法来绕过一些长度检查，如一些程序会使用有符号数字表示长度。那么就可以使用负数来绕过长度上限检查。而大多数系统API使用无符号数来表示长度，此时负数就会变成超大的正数导致溢出。
   详细效果可见——>BUU的一道整数溢出题目
2. 整数溢出转数组越界
   ​ 数组越界的思路很简单。在C语言中，数组索引的操作知识简单的将数组指针加上索引来实现，并不会检查边界。因此，很大的索引会访问到数组后的数据，如果索引是负数，那么还会访问到数组之前的内存。
   ​ 通常，整数溢出转数组越界更为常见。在数组索引的过程中，数组索引还要乘以数组元素的长度来计算元素的实际地址。以int类型为例，数组索引需要乘以4来计算偏移。假如通过传入负数来绕过边界检查，那么正常情况下只能访问数组之前的内存。但由于索引会被乘以4，那么依然可以索引数组后的数据甚至整个内存空间。例如，先要索引数组后0x1000字节处的内容，只需要传入负数-2147482624该值用十六进制表示为0x80000400，再乘以元素长度4后，由于无符号上溢结果，即为0x00001000。可以看到，与整数溢出转缓冲区溢出相比，数组越界更容易利用。