越过 __chkesp 检测的缓冲区溢出

  本文的起源,来自于在学校BBS上的C++版上,有一个人问了一个问题,然后我给他已解答。这个帖子的原文是这样的:

 

代码
 
   
发信人: lisanbai (李三白), 板面: C ++
标 题: 这个怎么一直不停输出啊,菜鸟求教
发信站: 飘渺水云间 (Mon Sep
20 16 : 52 : 30 2010 ), 转信

看了半天找不出毛病

char str1[] = " go? " ;
char str2[] = " back. " ;
int i = 0 ;
int j = 0 ;
int count = 0 ;
while (str1[i])
i
++ ;
while (str2[j])
j
++ ;
for (;count < j;count ++ )
str1[i
++ ] = str2[count];
str1[i]
= ' \0 ' ;
printf(
" \n%s\n " ,str1);
return 0 ;
--
※ 来源:·飘渺水云间 zju88.org·[FROM: lisanbai]

 

    上面的代码看起来,是把 str2 的内容附加到 str1 的尾部(完成 strcat 的功能),很显然,他的错误是 str1 的空间不足够容纳 str2,作者之所以犯了这个错误,可能是因为他对内存管理不够熟悉导致的。下面是我对该贴的回复:

 

    (1)你的str1恐怕不够容纳str2的内容,换句话说,你写内存的时候越界了。

    (2)我用IDA看了下在函数的栈上的分布,大致情况如下:

      低地址:(栈顶部方向)

      -14h j:         ....
      -10h i:       [0][0][0][0]
        -0Ch str2:  [b][a][c][k][.][0][0][0]
        -04h str1:  [g][o][?][0]
          00h      :  被保护的寄存器值(如果有的话)
                     ebp
                                返回跳转地址

      高地址:

    你附加字符的时候,把函数返回地址那里给覆盖了。换句话说,这个函数的Stack Frame被你给破坏掉了。

 

    (3)假设这些代码放在 main 函数里,用 IDA 运行这个程序,在函数返回前,可以手工把栈里的被破坏掉的ebp复原,但是返回地址好像没法复原(没法直接改栈上的数据),因为返回地址不对(返回地址最低位的字节被改成0)又跳回到 mainCRTStartup 里面的比较靠前的地方去了,正好跳到调用GetVersion的地方。然后过会又执行到调用 main 函数,然后又进入我在 main 函数里设的断点位置(如果反复手工修改被破坏的ebp,就形成了一个死循环状态)。

    如果不手工复原 ebp ,回到 mainCRTStartup 里面的时候,在会报一个内存不能写的异常。。。(还好是在自己的进程空间里)因为ebp的原来的值是 mainCRTStartup 里的可能也是用于访问栈的一个指针,总之在 mainCRTStartup 的开头的地方有mov ebp, esp。

    这里需强调的是,这个代码是可以通过 __chkesp 的检测。因为 __chkesp 只检测ebp的当前值(函数入口点的栈顶地址)和函数释放栈上空间以后的esp是否一致。这个代码不会影响到 ebp 当前值(函数入口点的栈顶),也不会没有破坏 esp 当前值,而是破坏了 ebp 的原值(在上一个函数中的值)和返回地址。因此这个代码属于缓冲区溢出,__chkesp 对此情况无法检测。

 

    (4)注:改正方法很简单,第一行代码改成例如 char str[32]="go?" 即可。该数字保证大于 str1+str2 的长度即可。

 

    =================================================================


    尽管这个问题应该说很容易解答,到这里也基本算可以了。不过我在 IDA 调试的时候发现编译器附加的 __chkesp 函数对这个问题里的代码是不起作用的,这引起了我的注意。通常人们不可能故意的让自己的函数产生缓冲区溢出这样的错误(本文的提问者是无意的),常见的比较底层的方法例如使用 FlushInstructionCache 修改函数入口地址来完成一些 hook。但是如果我们自己故意让我们的代码产生缓冲区溢出则另当别论了,所以我按照这个代码的思路,可修改函数返回时跳转的地址,让函数返回时进入另一个函数,这也是比较有趣的一个事情。为了不能让系统觉察到异常,必须再无痕迹跳转回正确的位置,相当于我们自己hack自己了。

 

    下面我提供一个演示的代码,首先简单介绍以下原理,这里存在一些没有保障的假设,例如在进入函数的时候,我们认为函数的栈是这样的分布:

 

    ebp的原值(通常是上一个函数中的栈指针)

    函数返回跳转地址(调用者中的某个地址)

    

    然后我修改函数(NormalFunc)的返回地址,让他跳转到另一个函数(Test2),注意这和常规的函数调用不同!如果这个函数有编译器产生的开场白(prolog),必须手动先添加一个收场白(epilog)去抵消掉开场白的影响(稍后我再介绍这一点)。为了简单起见,我使用 naked 关键字,要求编译器不要添加开场白和收场白,这样进入这个函数的时候可以直接去执行我们自己的代码,执行完用户代码以后再跳回正确的地址(调用者 main 的内部)。这样在系统不知道的情况下,我们就用“神不知鬼不觉的方式”“调用”了另一个函数(Test2)!

 

    下面是范例的代码,使用VC6.0,Console Application:

 

 

code_buf_overflow
 
   
// BufferOverflow.cpp : Defines the entry point for the console application.
//

#include
" stdafx.h "

// 保存函数返回地址(跳回到main)
unsigned int retAddress;

void Test2();

void NormalFunc()
{
// data[1]: ebp的值;data[2]:函数返回地址
unsigned int data[ 1 ] = { 0x0 };
// 保存返回地址
retAddress = data[ 2 ];
data[
2 ] = (unsigned int )Test2;
return ;
}

// naked函数(手工指定prolog 和 epilog)
__declspec(naked) void Test2()
{
printf(
" Naked: hello world!\n " );
// 跳回到main函数体中!
__asm
{
jmp [retAddress]
}
}

int main( int argc, char * argv[])
{
NormalFunc();
printf(
" before exit\n " );
return 0 ;
}

 

    这个函数产生下面的输出,看起来就和调用了 Test2 一样:

 

    Naked: hello world!
    before exit

 

    在 main 函数里本质上调用的是 NormalFunc 函数, 在这个函数里我修改了它返回时的跳转地址,同时也把正确的返回时跳转地址保存到了一个全局变量(retAddress)中。然后这个函数返回时进入了 Test2, 在 Test2 里执行了一些代码以后,再通过全局变量跳回到 main 中的正确位置,这个过程对编译器和系统来说是透明的。

 

    在 Test2 里我们使用 naked 关键字防止编译器自动产生那些开场白和收场白。如果没有加这个关键字,函数的开头和结尾会有系统产生的那些开场白和收场白,因为我们并非常规的函数调用,可以理解为我们还位于原来的函数体中,所以在执行我们自己的代码前,需要手工抵消掉函数的开场白(只需要把编译器产生的收场白嵌入到函数的用户代码前面即可,为此,首先观察编译器产生的开场白和收场白(函数主体部分省略):

 

asm_test
 
   
; 函数的开头部分
. text: 00401070 push ebp
.
text: 00401071 mov ebp, esp
.
text: 00401073 sub esp, 40h
.
text: 00401076 push ebx
.
text: 00401077 push esi
.
text: 00401078 push edi
.
text: 00401079 lea edi, [ebp+var_40]
.
text: 0040107C mov ecx, 10h
.
text: 00401081 mov eax, 0CCCCCCCCh
.
text: 00401086 rep stosd
   

; 函数的结尾部分
. text: 0040109B pop edi
.
text: 0040109C pop esi
.
text: 0040109D pop ebx
.
text: 0040109E add esp, 40h
.
text: 004010A1 cmp ebp, esp
.
text: 004010A3 call __chkesp
.
text: 004010A8 mov esp, ebp
.
text: 004010AA pop ebp
.
text: 004010AB retn

 

    现在我们写一个普通的函数(不加 naked 关键字),我们在函数前面嵌入“收场白”的等效汇编代码,则非 naked 的 Test2 函数的代码如下,具体的开场白有可能会依赖编译器,嵌入的收场白代码怎样写,最好还是用反汇编查看一下再确定(本例使用的是VC6.0):

 

code_test2_normal
 
   
void Test2()
{
//普通函数,我们必须手工抵消函数的开头
__asm
{
pop edi
pop esi
pop ebx
mov esp, ebp
pop ebp
}
//现在做一些事情
printf(
" hello world!\n " ) ;

//跳回到main函数体中!
__asm
{
jmp [retAddress]
}
}

 

    范例中的 Test2 函数很显然是不能直接调用的,因为全局变量 retAddress 的初值是 0,直接调用会导致进程异常终止。但如果我们先调用 NormalFunc 是全局变量(retAddress)被赋正确的值 ,Test2 就可以正常调用了,但是 Test2 返回时是从 NormalFunc 函数调用后面的语句继续执行的,所以这样会产生死循环。所以我们可以少许改造下 Test2,让它最多被调用 5 次以后进程退出(否则因为死循环屏幕将一直输出字符串)。改造后的代码可以在屏幕上打印五行字符串内容:

 

code_buf_overflow_2
 
   
#include " stdafx.h "
#include
< stdlib.h >

// 保存函数返回地址(跳回到main)
unsigned int retAddress;

void Test2();

void NormalFunc()
{
// data[1]: 可能是
unsigned int data[ 1 ] = { 0x0 };
// 保存返回地址
retAddress = data[ 2 ];
data[
2 ] = (unsigned int )Test2;
return ;
}


// naked函数(手工指定prolog 和 epilog)
__declspec(naked) void Test2()
{
static int i;
printf(
" Naked: hello world!\n " );
i
++;
if(i == 5)
exit(
0
);

// 跳回到main函数体中!
__asm
{
jmp [retAddress]
}
}

int main( int argc, char * argv[])
{
NormalFunc();
Test2();
printf(
" before exit\n " );
return 0 ;
}

 

 

    --hoodlum1980

    --2010-9-20

转载于:https://www.cnblogs.com/hoodlum1980/archive/2010/09/20/1832048.html

  • 0
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值