栈上的格式化字符串漏洞利用

最新推荐文章于 2025-12-05 17:02:52 发布

原创最新推荐文章于 2025-12-05 17:02:52 发布 · 1k 阅读

5 ·

CC 4.0 BY-SA版权

文章标签：

#java #开发语言

网络安全专栏收录该内容

806 篇文章

订阅专栏

一、简介

在 PWN 相关领域中，栈上的格式化字符串漏洞利用是一个重要的技术点。格式化字符串漏洞是由于程序在处理格式化函数（如 printf 等）时，没有正确限制用户输入的格式化字符串，从而导致攻击者可以利用此漏洞来控制程序流程、泄露内存信息或修改内存内容等。当这种漏洞出现在栈上时，攻击者可以利用栈的特性来进行攻击。

二、原理

在 C 语言中，格式化函数（如 printf）根据格式化字符串来解析后面的参数。正常情况下，格式化字符串是程序员写死的常量字符串，但如果用户可以控制这个字符串，就可能出现问题。在栈上，函数调用的参数通常是按照一定顺序存放在栈中的。当 printf 等函数执行时，它会根据格式化字符串从栈上读取相应的数据。攻击者可以通过精心构造格式化字符串，实现以下几种情况：

信息泄露：通过使用格式化字符串中的 % s、% x 等格式说明符，可以读取栈上存储的内容，包括函数的返回地址、局部变量等信息。
内存修改：利用 % n 等格式说明符，可以将某个值写入到指定的内存地址。攻击者可以通过栈上参数的相对位置来确定要修改的内存地址，从而改变程序的执行流程。

三、知识点

格式化字符串语法：要熟悉 C 语言中格式化函数的各种格式说明符，如 % d（整数）、% s（字符串）、% x（十六进制）、% n（将已输出的字符数写入到指定地址）等。
栈的结构和布局：了解函数调用时栈帧的结构，包括参数在栈上的存储位置、局部变量的位置等。这有助于确定构造格式化字符串时如何访问和修改目标数据。
内存地址计算：能够根据栈上的已知信息计算出目标内存地址的相对位置，以便准确地进行信息泄露或内存修改。

四、步骤

漏洞发现：首先要找到程序中存在格式化字符串漏洞的地方，这可能需要对程序的输入点和使用格式化函数的地方进行分析。可以通过逆向工程工具（如 IDA Pro）来查看程序的汇编代码，寻找调用格式化函数的地方，并检查是否存在用户输入作为格式化字符串的情况。
信息收集：构造简单的格式化字符串，如 “% x.% x.% x...”，并观察程序的输出。通过分析输出结果，可以获取栈上存储的数据信息，尝试确定目标数据（如返回地址、关键局部变量等）在栈上的位置。
构造攻击字符串：根据信息收集阶段确定的目标数据位置，构造精确的格式化字符串。如果是信息泄露，可以使用类似 “% s” 或 “% x” 的格式说明符在合适的位置读取目标数据。如果是内存修改，要结合内存地址计算，使用 “% n” 等格式说明符将值写入目标内存地址。
利用漏洞：将构造好的攻击字符串作为输入提供给程序，触发格式化字符串漏洞，实现信息泄露或控制程序流程等目的。

五、命令或代码示例

以下是一个简单的示例代码来演示格式化字符串漏洞：

#include <stdio.h>

int main() {
    char buffer[100];
    scanf("%s", buffer);
    printf(buffer);  // 这里存在格式化字符串漏洞，因为用户可以控制 buffer 的内容
    return 0;
}

攻击者可以输入类似 “% x.% x.% x” 这样的字符串来观察栈上的数据输出。如果要利用此漏洞修改内存，可以构造更复杂的格式化字符串，如 “AAAA% n”（这里假设通过之前的分析知道某个内存地址对应的位置可以通过这种方式修改，实际情况会更复杂）。

六、工具

IDA Pro：用于逆向分析程序，查看汇编代码，确定程序中格式化函数的调用位置和相关逻辑。命令（在 IDA 界面中操作）：打开程序文件后，可以使用各种分析功能，如查看函数列表、反汇编窗口等。例如，使用快捷键 “F5” 可以尝试将汇编代码转换为伪代码，方便理解程序逻辑。
GDB（GNU 调试器）：可以动态调试程序，观察程序在运行过程中栈的状态。命令：
- gdb [程序名]：启动 GDB 并加载程序。
- b [函数名或行号]：设置断点。
- r：运行程序。
- x/[格式] [地址]：用于查看指定内存地址的内容，格式可以是 x（十六进制）、s（字符串）等，例如x/10x $esp可以查看栈顶开始的 10 个十六进制值。这些工具可以帮助更好地理解程序的行为和栈上的情况，从而更有效地利用栈上的格式化字符串漏洞。

第14节变成博客先说这个是什么这个的原理加上知识点和步骤加上命令或代码有工具的话加上工具的命令

非栈上格式化字符串漏洞利用

一、简介

非栈上格式化字符串漏洞利用是信息安全领域中，特别是在漏洞分析与利用方面的一个关键技术。与栈上格式化字符串漏洞不同，这种漏洞涉及到堆、数据段等非栈内存区域的利用方式，攻击者可以利用程序对格式化函数使用不当的漏洞来达到获取敏感信息、控制程序执行流程等恶意目的。

二、原理

格式化函数与内存操作原理
- 在程序中，格式化函数（如 printf、sprintf 等）在处理格式化字符串时，会根据格式化字符串中的格式说明符来操作内存。正常情况下，函数期望程序员提供合适的参数。但如果存在漏洞，攻击者可控制格式化字符串。
- 对于非栈内存，比如堆内存，当程序存在漏洞使得格式化字符串能够影响到堆上的数据结构时，攻击者可以利用格式说明符对堆内存中的数据进行读取或修改。例如，在一些存在漏洞的程序中，格式化字符串可能被存储在堆上，并且在使用格式化函数时没有正确验证。
内存布局与数据访问
- 在非栈内存区域，如堆，数据的存储和管理有其特定的方式。堆内存是动态分配的，通过指针等方式来访问。当格式化函数操作涉及到非栈内存时，攻击者可以通过构造特定的格式化字符串，利用格式化函数在内存中查找参数的机制，访问和操作堆上的相关数据。这可能导致信息泄露，例如读取存储在堆上的敏感信息，或者通过修改堆上的数据结构来改变程序的行为，如修改指向重要函数的指针等。

三、知识点

内存区域知识：需要深入理解非栈内存区域（如堆、数据段等）的结构和管理方式。了解堆内存分配和释放的原理，例如 malloc、free 等函数的工作机制，以及数据在这些区域中的存储格式。
格式化字符串细节：和栈上格式化字符串类似，要全面掌握格式化函数的各种格式说明符（如 % s、% x、% n 等）在非栈内存环境下的作用和影响。特别是要理解在非栈内存中，这些格式说明符如何与内存地址和数据交互。
指针与内存地址操作：掌握指针在非栈内存访问中的作用。能够计算和确定非栈内存中目标数据的地址，以及如何通过格式化字符串来操作这些地址对应的内存数据。这包括对内存地址的偏移计算、数据类型的理解等。

四、步骤

漏洞发现与分析
- 使用逆向工程工具（如 IDA Pro）对目标程序进行分析，查找可能存在非栈上格式化字符串漏洞的代码片段。重点关注对格式化函数的调用，尤其是那些涉及到非栈内存数据作为参数或者可能影响非栈内存数据的地方。例如，查看程序中对存储在堆上的字符串进行格式化输出的代码。
- 通过动态调试工具（如 GDB）运行程序，观察程序在处理可能存在漏洞的代码时的内存状态。可以设置断点在格式化函数调用处，检查相关内存区域的数据。
信息收集与目标确定
- 构造特殊的格式化字符串作为输入，尝试获取非栈内存中的数据信息。例如，在可能存在漏洞的输入点输入类似 “% x.% x.% x...” 的格式化字符串，观察程序的输出，分析其中是否包含来自非栈内存的有用信息，如堆内存中的数据指针、存储在数据段的重要变量值等。
- 根据收集到的信息，确定要攻击的目标，如获取存储在堆上的敏感数据的完整内容，或者找到可以修改以控制程序流程的关键内存地址（可能是指向重要函数的指针在堆上的存储位置等）。
构造攻击字符串
- 根据目标内存地址和要执行的操作（信息泄露或内存修改），精心构造格式化字符串。如果是信息泄露，可以使用合适的格式说明符（如 % s 用于读取字符串数据）在目标地址位置获取数据。如果是内存修改，结合内存地址计算和 % n 等格式说明符来修改目标内存的值。例如，如果要修改堆上某个指针的值，可以通过构造包含 % n 和正确计算的地址偏移的格式化字符串来实现。
漏洞利用与验证
- 将构造好的攻击字符串输入到程序中，触发非栈上格式化字符串漏洞，观察程序的行为是否符合预期。如果是获取信息，检查是否成功获取到目标数据；如果是修改内存，检查程序是否按照修改后的内存状态执行，如是否跳转到攻击者指定的函数地址等。

五、命令或代码示例

以下是一个简单的可能存在非栈上格式化字符串漏洞的示例代码：

#include <stdio.h>
#include <stdlib.h>

int main() {
    char *buffer = (char *)malloc(100);
    scanf("%s", buffer);
    printf(buffer);  // 这里存在潜在的格式化字符串漏洞，因为 buffer 是从堆上分配的
    free(buffer);
    return 0;
}

攻击者可以输入类似 “% x.% x.% x” 这样的字符串来观察可能来自堆内存或其他非栈内存的数据输出。如果要利用此漏洞修改内存（假设存在合适的条件和目标地址已知），可以构造更复杂的格式化字符串，如 “AAAA% n”（这里只是简单示意，实际情况需要准确计算地址）。

六、工具

IDA Pro：
- 用于逆向分析程序。命令（在 IDA 界面中操作）：打开程序文件后，可以使用各种分析功能。例如，使用快捷键 “F5” 可以尝试将汇编代码转换为伪代码，方便理解程序逻辑。通过查看函数调用关系、数据引用等，确定可能存在非栈上格式化字符串漏洞的位置，尤其是涉及到非栈内存操作的格式化函数调用点。
GDB（GNU 调试器）：
- 可以动态调试程序，观察程序在运行过程中非栈内存的状态。命令：
- gdb [程序名]：启动 GDB 并加载程序。
- b [函数名或行号]：设置断点。例如，在格式化函数调用处设置断点，b printf。
- r：运行程序。
- x/[格式] [地址]：用于查看指定内存地址的内容，格式可以是 x（十六进制）、s（字符串）等。例如，x/10x [堆内存地址]可以查看堆上某个区域的十六进制值，帮助分析非栈内存中的数据情况。