数组溢出 越界写 越界读

在CTF（Capture The Flag）竞赛中，数组溢出是一种常见的安全漏洞，它发生在程序试图访问或操作超出数组边界的数据时。这种行为可以分为两类：越界写（Write-What-Where）和越界读（Read-What-Where）。下面详细介绍这两种情况以及如何在CTF竞赛中利用它们。

越界写（Write-What-Where）

越界写发生在程序尝试向数组的末尾以外的位置写入数据时。这通常发生在数组索引没有得到适当验证的情况下，例如，当程序没有检查用户输入的数据是否会导致数组索引超出合法范围。

利用技巧

• 缓冲区溢出：最典型的越界写利用是缓冲区溢出。通过向一个固定大小的数组写入过多的数据，攻击者可以覆盖紧随数组之后的内存，这通常是函数调用的返回地址或栈帧的一部分。
• 控制流劫持：如果覆盖的是函数的返回地址，攻击者可以跳转到任意内存地址，从而执行攻击者控制的代码。
• 数据修改：攻击者也可以修改程序的其他数据，如函数指针、全局变量或结构体成员，以改变程序的行为。

越界读（Read-What-Where）

越界读发生在程序尝试读取数组边界之外的数据时。这通常不会直接导致程序崩溃，但它可以让攻击者读取到敏感信息，如密码、密钥或内存中的其他数据。

利用技巧

• 信息泄露：通过精心构造的输入，攻击者可以使程序读取和显示不应公开的数据，如内存中的其他变量或函数地址。
• 控制流分析：泄露的内存地址可以帮助攻击者更好地理解程序的内存布局，为更复杂的攻击（如ROP链构建）提供信息。

利用示例

假设存在一个函数foo，它接受一个字符串参数input，如下所示：

1void foo(char *input) {
2    char buffer[16];
3    strcpy(buffer, input);
4    // 其他代码
5}

攻击者可以通过提供一个超过16个字符的字符串来触发缓冲区溢出，覆盖紧随buffer之后的内存。如果foo函数的返回地址位于buffer之后，攻击者可以注入恶意代码的地址，从而在函数返回时执行。

防御措施

为了防止数组溢出，开发者应该：

• 边界检查：始终对数组索引进行边界检查，确保不会超出数组的合法范围。
• 使用安全函数：使用安全的字符串操作函数，如strncpy代替strcpy，并总是使用strlen或strnlen检查字符串长度。
• 编译器安全选项：启用编译器的缓冲区溢出保护选项，如-fstack-protector和-fPIE。
• 代码审查：定期进行代码审查，查找潜在的数组溢出漏洞。
• 运行时安全检查：使用如AddressSanitizer和UndefinedBehaviorSanitizer等工具，在开发阶段检测溢出。