堆棧溢出技術(shù)從入門到精通
雖然溢出在程序開發(fā)過程中不可完全避免，但溢出對系統(tǒng)的威脅是巨大的，由于系統(tǒng)的特殊性，溢出發(fā)生時攻擊者可以利用其漏洞來獲取系統(tǒng)的高級權(quán)限r(nóng)oot，因此本文將詳細介紹堆棧溢出技術(shù)……
在您開始了解堆棧溢出前，首先你應(yīng)該了解win32匯編語言，熟悉寄存器的組成和功能。你必須有堆棧和存儲分配方面的基礎(chǔ)知識，有關(guān)這方面的計算機書籍很多，我將只是簡單闡述原理，著重在應(yīng)用。其次，你應(yīng)該了解linux，本講中我們的例子將在linux上開發(fā)。
1、首先復(fù)習(xí)一下基礎(chǔ)知識。
從物理上講，堆棧是就是一段連續(xù)分配的內(nèi)存空間。在一個程序中，會聲明各種變量。靜態(tài)全局變量是位于數(shù)據(jù)段并且在程序開始運行的時候被加載。而程序的動態(tài)的局部變量則分配在堆棧里面。
從操作上來講，堆棧是一個先入后出的隊列。他的生長方向與內(nèi)存的生長方向正好相反。我們規(guī)定內(nèi)存的生長方向為向上，則棧的生長方向為向下。壓棧的操作push=ESP-4，出棧的操作是pop=ESP+4.換句話說，堆棧中老的值，其內(nèi)存地址，反而比新的值要大。請牢牢記住這一點，因為這是堆棧溢出的基本理論依據(jù)。
在一次函數(shù)調(diào)用中，堆棧中將被依次壓入：參數(shù)，返回地址，EBP。如果函數(shù)有局部變量，接下來，就在堆棧中開辟相應(yīng)的空間以構(gòu)造變量。函數(shù)執(zhí)行結(jié)束，這些局部變量的內(nèi)容將被丟失。但是不被清除。在函數(shù)返回的時候，彈出EBP，恢復(fù)堆棧到函數(shù)調(diào)用的地址,彈出返回地址到EIP以繼續(xù)執(zhí)行程序。
在C語言程序中，參數(shù)的壓棧順序是反向的。比如func(a,b,c)。在參數(shù)入棧的時候，是：先壓c，再壓b,最后a。在取參數(shù)的時候，由于棧的先入后出，先取棧頂?shù)腶，再取b,最后取c。這些是匯編語言的基礎(chǔ)知識，用戶在開始前必須要了解這些知識。
2、現(xiàn)在我們來看一看什么是堆棧溢出。
運行時的堆棧分配
堆棧溢出就是不顧堆棧中數(shù)據(jù)塊大小，向該數(shù)據(jù)塊寫入了過多的數(shù)據(jù)，導(dǎo)致數(shù)據(jù)越界，結(jié)果覆蓋了老的堆棧數(shù)據(jù)。
例如程序一：
|
#include |
編譯并且執(zhí)行，我們輸入ipxodi,就會輸出Hello,ipxodi!。程序運行中，堆棧是怎么操作的呢?
在main函數(shù)開始運行的時候，堆棧里面將被依次放入返回地址，EBP。
我們用gcc -S 來獲得匯編語言輸出，可以看到main函數(shù)的開頭部分對應(yīng)如下語句：
|
pushl %ebp |
首先他把EBP保存下來，，然后EBP等于現(xiàn)在的ESP，這樣EBP就可以用來訪問本函數(shù)的局部變量。之后ESP減8，就是堆棧向上增長8個字節(jié)，用來存放name[]數(shù)組。最后，main返回，彈出ret里的地址，賦值給EIP，CPU繼續(xù)執(zhí)行EIP所指向的指令。
堆棧溢出
現(xiàn)在我們再執(zhí)行一次，輸入ipxodiAAAAAAAAAAAAAAA,執(zhí)行完gets(name)之后，由于我們輸入的name字符串太長，name數(shù)組容納不下，只好向內(nèi)存頂部繼續(xù)寫‘A’。由于堆棧的生長方向與內(nèi)存的生長方向相反，這些‘A’覆蓋了堆棧的老的元素。 我們可以發(fā)現(xiàn)，EBP，ret都已經(jīng)被‘A’覆蓋了。在main返回的時候，就會把‘AAAA’的ASCII碼：0x41414141作為返回地址，CPU會試圖執(zhí)行0x41414141處的指令，結(jié)果出現(xiàn)錯誤。這就是一次堆棧溢出。
3、如何利用堆棧溢出
我們已經(jīng)制造了一次堆棧溢出。其原理可以概括為：由于字符串處理函數(shù)(gets，strcpy等等)沒有對數(shù)組越界加以監(jiān)視和限制，我們利用字符數(shù)組寫越界，覆蓋堆棧中的老元素的值，就可以修改返回地址。
在上面的例子中，這導(dǎo)致CPU去訪問一個不存在的指令，結(jié)果出錯。事實上，當(dāng)堆棧溢出的時候，我們已經(jīng)完全的控制了這個程序下一步的動作。如果我們用一個實際存在指令地址來覆蓋這個返回地址，CPU就會轉(zhuǎn)而執(zhí)行我們的指令。
在UINX/linux系統(tǒng)中，我們的指令可以執(zhí)行一個shell，這個shell將獲得和被我們堆棧溢出的程序相同的權(quán)限。如果這個程序是setuid的，那么我們就可以獲得root shell。下一講將敘述如何書寫一個shell code。
如何書寫一個shell code
一：shellcode基本算法分析
在程序中，執(zhí)行一個shell的程序是這樣寫的：
|
shellcode.c |
execve函數(shù)將執(zhí)行一個程序。他需要程序的名字地址作為第一個參數(shù)。一個內(nèi)容為該程序的argv[i](argv[n-1]=0)的指針數(shù)組作為第二個參數(shù)，以及(char*) 0作為第三個參數(shù)。
我們來看以看execve的匯編代碼：
|
[nkl10]$Content$nbsp;gcc -o shellcode -static shellcode.c |
經(jīng)過以上的分析，可以得到如下的精簡指令算法：
|
movl $execve的系統(tǒng)調(diào)用號,%eax |
當(dāng)execve執(zhí)行成功后，程序shellcode就會退出，/bin/sh將作為子進程繼續(xù)執(zhí)行?？墒牵绻覀兊膃xecve執(zhí)行失敗，(比如沒有/bin/sh這個文件)，CPU就會繼續(xù)執(zhí)行后續(xù)的指令，結(jié)果不知道跑到哪里去了。所以必須再執(zhí)行一個exit()系統(tǒng)調(diào)用，結(jié)束shellcode.c的執(zhí)行。
我們來看以看exit(0)的匯編代碼：
|
(gdb) disassemble _exit |
看來exit(0)〕的匯編代碼更加簡單：
|
movl $0x1,%eax ;1號系統(tǒng)調(diào)用 |
那么總結(jié)一下，合成的匯編代碼為：
|
movl $execve的系統(tǒng)調(diào)用號,%eax |
下載文檔
