二进制漏洞-栈溢出
github地址:https://github.com/ylcangel/exploits/tree/master/stack_overflow
你可以用于学习,但不能用于商用(如出书、以盈利为目的的课程、文章等),转载需标明出处。
测试平台
系统:CentOS release 6.10 (Final)、32位
内核版本:Linux 2.6.32-754.10.1.el6.i686 i686 i386 GNU/Linux
gcc 版本: 4.4.7 20120313 (Red Hat 4.4.7-23) (GCC)
gdb版本:GNU gdb (GDB) Red Hat Enterprise Linux (7.2-92.el6)
libc版本:libc-2.12.so
漏洞原理
在对栈缓冲区进行写操作时(如memcpy),未对缓冲区大小进行判断,导致写入数据长度可能大于缓冲区长度。
通用利用方式
写入数据覆盖返回地址,使返回地址指向恶意代码起始地址。由于我是基于本地测试,也就是libc库的版本已知,而基于远程攻击或不同版本的libc库可能会存在差异。
漏洞测试程序
很明显代码在执行scanf时未对缓冲区大小进行判断,存在栈溢出漏洞。
注意如无特殊说明,本文的exp都是基于该源码编译的二进制实现的。
所有测试均在linux环境下进行
开启NX(DEP),开启ASLR
上面例子采用Ret2libc方式实现poc,为了防止基于该方式的攻击,ASLR应运而生
开启ASLR首先需要打开操作系统相应功能/proc/sys/kernel/randomize_va_space
目前randomize_va_space的值有三种,分别是[0,1,2]
0 - 表示关闭进程地址空间随机化。
1 - 表示将mmap的基址,stack和vdso页面随机化。
2 - 表示在1的基础上增加栈(heap)的随机化。
开启命令:echo 2 > /proc/sys/kernel/randomize_va_space
ASLR的开启无法通过checksec来检测,他的开启与系统有关
ASLR只针对动态库基址的中间位数进行随机化,后三位并不会变
ASLR不会随机化程序本身的基址
漏洞分析
现在我们来运行几次看看(注意看主程序和libc的基址变化),第一次运行:
第二次运行(这幅图圈错位置了^-^):
第三次运行:
从运行结果可以看出libc的基址、栈、vdso已经随机了,但主程序的基址却保持不变。开启ASLR后主程序以下部分并不会随机化。