入侵檢測(cè)技術(shù)課件：2-2緩沖區(qū)溢出攻擊

1.緩沖區(qū)溢出攻擊原理堆棧（已初始化數(shù)據(jù)）數(shù)據(jù)段（未初始化數(shù)據(jù)）代碼段一個(gè)進(jìn)程的內(nèi)存映像文本段（代碼段）文本區(qū)域是由程序確定的,包括代碼(指令)和只讀數(shù)據(jù)。該區(qū)域相當(dāng)于可執(zhí)行文件的文本段。這個(gè)區(qū)域通常被標(biāo)記為只讀,任何對(duì)其寫(xiě)入的操作都會(huì)導(dǎo)致段錯(cuò)誤(segmentationviolation數(shù)據(jù)段

數(shù)據(jù)區(qū)域包含了已初始化和未初始化的數(shù)據(jù)。全局變量、靜態(tài)變量?jī)?chǔ)存在這個(gè)區(qū)域中堆棧

用于函數(shù)調(diào)用，用于返回高低1)緩沖區(qū)溢出攻擊(實(shí)例)main(){ charpasswd[8]={"2e4rfe"}; charyourpasswd[8]={""};again: puts("pleaseinputpasswd?"); gets(yourpasswd); if(strcmp(yourpasswd,passwd)==0) gotook; puts("passwderror"); gotoagain; exit(-2);ok: puts("correct!"); //doworkyouwant return0;}程序的設(shè)計(jì)功能：輸入正確的口令后做某項(xiàng)工作(否則重復(fù)要求輸入口令)演示：輸入精心計(jì)劃好的字串打亂設(shè)計(jì)期望的執(zhí)行邏輯，從而繞過(guò)某些口令2）棧溢出攻擊(函數(shù)調(diào)用)實(shí)在參數(shù)返回地址基地址棧底(內(nèi)存高端)棧增長(zhǎng)方向局部變量1)首先把參數(shù)壓入棧；

2)然后保存命令寄存器（EIP）中的內(nèi)容作為返回地址（RET）；

3)第三個(gè)放入堆棧的是基址寄存器（EBP）；

4)然后把當(dāng)前的棧指針（ESP）拷貝到EBP，作為新的基地址；

5)最后為本地變量留出一定空間函數(shù)調(diào)用與堆棧緩沖區(qū)溢出攻擊

緩沖區(qū)寄存器EIPargcargvESP→EIP’←buf→ESP→低高①進(jìn)入函數(shù)后的堆棧②拷貝超長(zhǎng)字符數(shù)組到緩沖區(qū)中③釋放局部變量ESP指向返回地址④從堆棧中取出的EIP,執(zhí)行shellcodeEIP’ESP→EIP’EIP’→例子intAFunc(inti,intj){

intm=3;

intn=4;

m=i;

n=j;

BFunc(m,n);

return8;}intBFunc(inti,intj){intm=1;intn=2;m=i;n=j;returnm;}intmain(){AFunc(5,6);

return0;}6當(dāng)前EBP當(dāng)前ESPAFunc(5,6)；push6push5call_AFuncaddesp+8語(yǔ)句執(zhí)行前的EBP語(yǔ)句執(zhí)行前的ESP函數(shù)調(diào)用中棧的工作過(guò)程5EIP_AFuncpushebpmovebp,espsubesp,48h//壓入環(huán)境變量//為局部變量分配空間EBP48hEDIESIEBX3（m=3）4（n=4）6當(dāng)前EBP當(dāng)前ESPAFunc(5,6)；……call_AFuncaddesp+8語(yǔ)句執(zhí)行前的EBP語(yǔ)句執(zhí)行前的ESP函數(shù)調(diào)用中棧的工作過(guò)程5EIP_AFunc{……return0;}popedipopesipopebxaddesp,48h//棧校驗(yàn)popebpretEBP48hEDIESIEBX3（m=3）4（n=4）當(dāng)緩沖區(qū)溢出發(fā)生時(shí)……intAFunc(inti,intj){

intm=3;

intn=4;

charszBuf[8]={0};strcpy(szBuf,“Thisisaoverflowbuffer!”)；

m=i;n=j;

BFunc(m,n);

return8;}#include<iostream.h>#include<string.h>voidinput(){

intaccess(0);//access為1時(shí)表示登錄正確得到權(quán)限，初始為0

charpassword[4];//用于存儲(chǔ)用戶輸入的登錄密碼

cout<<"輸入密碼:";

cin>>password;

if(strcmp(password,"1988")==0)//比較兩個(gè)串是否相等，如果相等返回值為0

{

access=1;//兩串相等，將權(quán)限變量賦值1

}

if(access!=0)

//access非零，則登錄成功

cout<<"登錄成功"<<endl;

else

//access為零，登錄失敗

cout<<"error";

}voidmain()

{

input();

//函數(shù)調(diào)用

}example.c

void

function(char

*str)

{

char

buffer[16];

strcpy(buffer,str);

}

void

main()

{

char

large_string[256];

int

i;

for(i=0;i<255;i++)

large_string[i]

=

‘A’;

function(large_string);

}

*strRet(Function后的指令地址)基地址FPbuffer