零. 課程要點(diǎn)：

• 緩沖區(qū)溢出
• 緩沖區(qū)溢出攻擊
• 緩沖區(qū)溢出防范

學(xué)完了數(shù)據(jù)的內(nèi)存結(jié)構(gòu)，以及函數(shù)調(diào)用的底層過程，我們就來看一下在各種操作系統(tǒng)和應(yīng)用軟件中廣泛存在的漏洞：緩沖區(qū)溢出展鸡。

一. 緩沖區(qū)溢出

首先，緩沖區(qū)是什么埃难？

緩沖區(qū)是一塊連續(xù)的計(jì)算機(jī)內(nèi)存區(qū)域莹弊，可以是堆棧(自動變量)、堆(動態(tài)內(nèi)存)和靜態(tài)數(shù)據(jù)區(qū)(全局或靜態(tài))涡尘。在C語言中忍弛，通常使用字符數(shù)組和內(nèi)存分配函數(shù)實(shí)現(xiàn)緩沖區(qū)。如下圖所示：

可執(zhí)行文件的存儲器映像

那么什么是緩沖區(qū)溢出考抄？

緩沖區(qū)溢出就是指當(dāng)計(jì)算機(jī)程序向緩沖區(qū)內(nèi)填充的數(shù)據(jù)位數(shù)超過了緩沖區(qū)本身的容量细疚，溢出的數(shù)據(jù)覆蓋在其它的數(shù)據(jù)或受保護(hù)空間中。

由于C語言沒有數(shù)組越界檢查機(jī)制川梅，當(dāng)向局部數(shù)組緩沖區(qū)里寫入的數(shù)據(jù)超過為其分配的大小時(shí)疯兼，就會發(fā)生緩沖區(qū)溢出。舉個(gè)例子：

double fun(int i)
{
    volatile double d[1] = {3.14};
    volatile long int a[2];
    a[i] = 1073741824;
    return d[0];
}

當(dāng)調(diào)用這個(gè)函數(shù)時(shí)贫途，我們發(fā)現(xiàn)結(jié)果如下：

fun(0) = 3.14
fun(1) = 3.14
fun(2) = 3.1399998664856
fun(3) = 2.00000061035156
fun(4)：Segmentation fault

上面就是一個(gè)典型的對數(shù)組的越界訪問吧彪，為什么會出現(xiàn)上面的結(jié)果？只需要看一下棧中的數(shù)據(jù)內(nèi)容就能明白：

棧中的數(shù)據(jù)

當(dāng)i=0和i=1時(shí)丢早，1073741824存儲于正確的位置姨裸，但是當(dāng)i=2時(shí)，a[2] = 1073741824，雖然我們認(rèn)為沒有定義a[2]傀缩，但是根據(jù)前面的知識那先，我們知道數(shù)組元素可以使用指針來訪問，因此對數(shù)組的引用沒有邊界約束扑毡，因此數(shù)據(jù)覆蓋了d[0]的地方胃榕，造成了錯(cuò)誤盛险。如果i更大瞄摊，那就有可能在受保護(hù)的地方寫入了數(shù)據(jù)，造成程序崩潰甚至被劫持苦掘。

二. 緩沖區(qū)溢出攻擊

造成緩沖區(qū)溢出的原因是沒有對棧中作為緩沖區(qū)的數(shù)組的訪問進(jìn)行越界檢查换帜。緩沖區(qū)溢出是一種非常普遍、非常危險(xiǎn)的漏洞鹤啡，在各種操作系統(tǒng)惯驼、應(yīng)用軟件中廣泛存在。利用緩沖區(qū)溢出攻擊递瑰，可導(dǎo)致程序運(yùn)行失敗祟牲、系統(tǒng)關(guān)機(jī)、重新啟動等后果抖部。

在前面的學(xué)習(xí)中我們知道在函數(shù)調(diào)用過程中说贝，會把返回地址入棧，并在函數(shù)調(diào)用結(jié)束后取出并跳轉(zhuǎn)慎颗。如果利用緩沖區(qū)溢出將函數(shù)返回地址修改為指向一段精心安排的惡意代碼乡恕，從而改變程序正常流向，則可達(dá)到危害系統(tǒng)安全的目的俯萎。最常見的手段是通過制造緩沖區(qū)溢出使程序運(yùn)行一個(gè)用戶shell傲宜，再通過shell執(zhí)行其它命令。若該程序有root或suid執(zhí)行權(quán)限夫啊，則攻擊者就獲得一個(gè)有root權(quán)限的shell函卒，進(jìn)而可對系統(tǒng)進(jìn)行任意操作。

舉個(gè)例子：

緩沖區(qū)溢出攻擊

上面的代碼原意是想打印出第一個(gè)參數(shù)撇眯，但是只分配了16個(gè)字節(jié)的大小报嵌。當(dāng)main函數(shù)調(diào)用outputs時(shí)，會先保存返回地址叛本，然后保存EBP舊值沪蓬，重新形成棧底。然后分配16個(gè)字節(jié)的變量来候，并將參數(shù)入棧跷叉，準(zhǔn)備調(diào)用strcpy函數(shù)。

若strcpy復(fù)制了25個(gè)字符到buffer中，并將hacker首址置于結(jié)束符‘\0’前4個(gè)字節(jié)云挟，則在執(zhí)行strcpy后梆砸，hacker代碼首址被置于main棧幀返回地址處，當(dāng)執(zhí)行outputs代碼的ret指令時(shí)园欣，便會轉(zhuǎn)到hacker函數(shù)實(shí)施攻擊帖世。

即假定hacker首址為0x08048411，那么我們構(gòu)造一個(gè)字符串作為參數(shù)傳入：

char code[]=
"0123456789ABCDEFXXXX"
"\x11\x84\x04\x08"
"\x00";

int main(void) {
    char *argv[3];
    argv[0]="./test";
    argv[1]=code;
    argv[2]=NULL;
    execve(argv[0],argv,NULL);
    return 0;
}

就可以轉(zhuǎn)到hacker函數(shù)實(shí)施攻擊沸枯。

三. 緩沖區(qū)溢出防范