緩沖區(qū)溢出技術(shù)

1、緩沖區(qū)溢出技術(shù)1堆棧2從物理上講，堆棧是就是一段連續(xù)分配的內(nèi)存空間靜態(tài)全局變量是位于數(shù)據(jù)段并且在程序開始運行的時候被加載動態(tài)的局部變量 則分配在堆棧里面從操作上來講，堆棧是一個先入后出的隊列，其生長方向與內(nèi)存的生長方向正好相反3我們規(guī)定內(nèi)存的生長方向為向上，則棧的生長方向為向下壓棧的操作pushESP-4 出棧的操作是pop=ESP+44在一次函數(shù)調(diào)用中，堆棧中將被依次壓入：參數(shù)，返回地址，EBP如果函數(shù)有局部變量，接下來，就在堆棧中開辟相應(yīng)的空間以構(gòu)造變量函數(shù)執(zhí)行結(jié)束，這些局部變量的內(nèi)容將 被丟失。但是不被清除在函數(shù)返回的時候，彈出EBP，恢復(fù)堆棧到函數(shù)調(diào)用的地址，彈出返回地址到EIP以繼續(xù)

2、執(zhí)行程序5在C語言程序中，參數(shù)的壓棧順序是反向的：比如func（a,b,c)。在參數(shù)入棧的時候，是先壓c，再壓b，最后壓a在取參數(shù)的時候，由于棧的先入后出，先取棧頂?shù)腶，再取b，最后取c6運行時的堆棧分配 7我們用gcc -S 來獲得匯編語言輸出，可以看到main函數(shù)的開頭部分對應(yīng)如下語句： pushl %ebp movl %esp,%ebp subl $8,%esp 首先把EBP保存下來，然后EBP等于現(xiàn)在的ESP，這樣EBP就可以用來訪問本函數(shù)的 局部變量之后ESP減8，就是堆棧向上增長8個字節(jié)，用來存放name數(shù)組?，F(xiàn)在堆棧 的布局如下： 8之后ESP減8，就是堆棧向上增長8個字節(jié)，用來

3、存放name數(shù)組?，F(xiàn)在堆棧 的布局如下： 9由于我們輸入的name字符串太長，name數(shù)組容納不下，只好向內(nèi)存頂部繼續(xù)寫A 由于堆棧的生長方向與內(nèi)存的生長方向相反，這些A覆蓋了堆棧的老的元素EBP，ret都已經(jīng)被A覆蓋了在main返回的時候，就會把 AAAA 的ASCII碼：0 x41414141作為返回地址，CPU會試圖執(zhí)行0 x41414141處的指令，結(jié)果出現(xiàn)錯誤，這就是一次堆棧溢出 10Shellcode的編寫11Shellcode.c#include void main() char *name2; name0 = /bin/sh; name1 = NULL; execve(name

4、0, name, NULL); 12execve( )execve函數(shù)將執(zhí)行一個程序程序的名字地址作為第一個參數(shù)一個內(nèi)容為該程序的argvi（argvn-1=0)的指針數(shù)組作為第二個參數(shù)(char*) 0作為第三個參數(shù)13execve的匯編代碼 $ gcc -o shellcode -static shellcode.c $ gdb shellcode (gdb) disassemble _execve Dump of assembler code for function _execve: 14如何精簡？經(jīng)過以上的分析，可以得到如下的精簡指令算法： movl $execve的系統(tǒng)調(diào)用號,%e

5、ax movl bin/sh0的地址,%ebx movl name數(shù)組的地址,%ecx movl namen-1的地址,%edx int $0 x80 ;執(zhí)行系統(tǒng)調(diào)用(execve) 15問題當(dāng)execve執(zhí)行成功后，程序shellcode就會退出，/bin/sh將作為子進程繼續(xù)執(zhí)行如果execve執(zhí)行失敗，（比如沒有/bin/sh這個文件），CPU就會繼續(xù)執(zhí)行后續(xù)的 指令，結(jié)果不知道跑到哪里去了所以必須再執(zhí)行一個exit（）系統(tǒng)調(diào)用， 結(jié)束shellcode.c的執(zhí)行16exit(0)匯編代碼17exit(0) 的匯編代碼精簡 movl $0 x1,%eax ;1號系統(tǒng)調(diào)用 movl 0,%

6、ebx ;ebx為exit的參數(shù)0 int $0 x80 ;引發(fā)系統(tǒng)調(diào)用 18execve + exitmovl $execve的系統(tǒng)調(diào)用號, %eax movl “bin/sh0”的地址, %ebx movl name數(shù)組的地址, %ecx movl namen-1的地址, %edx int $0 x80 ;執(zhí)行系統(tǒng)調(diào)用(execve) movl $0 x1,%eax ;1號系統(tǒng)調(diào)用 movl 0,%ebx ;ebx為exit的參數(shù)0 int $0 x80 ;執(zhí)行系統(tǒng)調(diào)用(exit) 19萬事具備，還欠什么？字符串“/bin/sh” name數(shù)組 execve + exit問題 每一次程序都

7、是動態(tài)加載，字符串和name數(shù)組的地址都不是固定的在shellcode中如何知道它們的地址呢？20jmp + call21在large_string中填入buffer的地址22把shell代碼放到large_string 的前面部分23將large_string拷貝到buffer中24造成溢出，使返回地址變?yōu)閎uffer，而buffer的內(nèi)容為shell代碼。這樣當(dāng)程序試從strcpy() 中返回時，就會轉(zhuǎn)而執(zhí)行shell25如何利用別人的漏洞26利用別人的程序的堆棧溢出獲得rootshell以一個有strcpy堆棧溢出漏洞的程序，利用前面說過的方法來得到shell同樣必須完成兩件事 把自己的

8、shellcode提供給對方，讓對方可以訪問shellcode修改對方的返回地址為shellcode的入口地址27How 必須知道strcpy（buffer,ourshellcode中，buffer的地址因為當(dāng)我們把shellcode提供給strcpy之后，buffer的開始地址就是shellcode的 開始地址 必須用這個地址來覆蓋堆棧28How 對于操作系統(tǒng)而言，一個shell下的每一個程序的堆棧段開始地址都是相同的 可以寫一個程序，獲得運行時的堆棧起始地址，這樣，我們就知道了目標程序堆棧的開始地址29下面這個函數(shù)，用eax返回當(dāng)前程序的堆棧指針。（所有C函數(shù)的返回值都放在eax寄存器 里面） -unsigned long get_sp(void) _asm_(movl %esp,%eax); -30猜？我們在知道了堆棧開始地址后，buffer相對于堆棧開始地址的偏移，是程序員自己寫出來的程序決定的，我們不知道，只能靠猜測了不過，一般的程序堆棧大約是幾K 左右。所以，這個buffer與上面得到的堆棧地址，相差就在幾K之間 顯然猜地址這是一件很難的事情010K31前面我們用