2.2 逆向实验2（修改邻接变量）

1、实验清单

        win xp、VC6.0、ollydbg

2、实验代码及分析

#include <stdio.h>
#include <string.h>
#define PASSWORD "1234567"

int verifg_password(char *password)
{
    int authenticated;
    char buffer[8];//add local buffer to be overflowed
    authenticated=strcmp(password,PASSWORD);
    strcpy(buffer,password);//overflowed here!
    return authenticated;
}

main()
{
    int valid_flag=0;
    char password[1024];
    while(1)
    {
        printf("please input password:   ");
        scanf("%s",password);
        valid_flag=verify_password(password);
        if(valid_flag)
        {
            printf("incorrect password!\n\n");
        }
        else
        {
            printf("congratulation! You have passed the verification!\n");
            break;
        }

    }
}

        可以看出，在verify_password函数的栈帧中，局部变量 int authenticated 恰好位于缓冲区 char buffer[8]的下方：

 3、实验步骤

（1）对代码编译并运行，确保程序正常：

（2）假如我们输入的密码是7个“q”，strcmp应该放回1，即authenticated为1。Ollydbg动态调试的实际内存情况为见图2.2.1

 图2.2.1

        注：strcmp函数用法：

int strcmp(char str1,char str2);
//比较str1与str2是否相同，相同返回1；str1>str2，返回1，否则返回-1

        可知，栈帧数据如表2-2-1所示：

表2-2-1 栈帧数据分布情况

局部变量名	内存地址	偏移3处值	偏移2处值	偏移1处值	偏移0处值
buffer[0~3]	0x0012FB18	0x71('q')	0x71('q')	0x71('q')	0x71('q')
buffer[4~7]	0x0012FB1C	NULL	0x71('q')	0x71('q')	0x71('q')
authenticated	0x0012FB20	0x00	0x00	0x00	0x01

        注：内存数据与数值数据不同，区别就是数值数据：高位在左边，低位在右边；内存数据有大端存储和小端存储之分。

（3）如果我们的输入超过7个字符，将会发生什么情况？这次我们输入的密码为“qqqqqqqrst”

（’q‘、’r‘、’s‘、’t‘的ASCII码相差1），结果如图2.2.2：

 图2.2.2

         这时的栈帧数据如表2-2-2所示：

表2-2-2 栈帧数据

局部变量名	内存地址	偏移3处值	偏移2处值	偏移1处值	偏移0处值
buffer[0~3]	0x0012FB18	0x71('q')	0x71('q')	0x71('q')	0x71('q')
buffer[4~7]	0x0012FB1C	0x72('r')	0x71('q')	0x71('q')	0x71('q')
authenticated被覆盖前	0x0012FB20	0x00	0x00	0x00	0x01
authenticated被覆盖后	0x0012FB20	0x00	0x00	0x74('t')	0x73('s')

        authenticated变量的值来源于strcmp函数的返回值，之后会返回给main函数作为密码验证成功与否的标志变量。当authenticated为0时，表示验证成功；反之，验证不成功。

        我们已经知道越过数组buffer[8]的边界的后续数据可以改写变量authenticated，那么当我们输入8个’q‘的时候，按照前边的分析，buffer所拥有的8个字节将全部被’q‘的ASCII码0x71填满，而字符串的第9个字符——作为结尾的NULL将刚好写入下一个双字节的低位字节，恰好将authenticated从0x00 00 00 01改为0x00 00 00 00 。结果如图2.2.3所示：

        注：并不是任何8个字符都能冲破上述验证程序。只有输入的密码大于’1234567‘时，authenticated为1，在内存中的值为0x00 00 00 01，可以用字符串的截断符NULL淹没authenticated的低位字节而突破验证。