缓冲区溢出解密二
佚名
而如果ESP被PUSH到堆栈，这是堆栈的表示：
|_parametre_I___| EBP 12
|_parametre II__| EBP 8
|_return adress_| EBP 4
|___saved_ESP___| EBP ESP
|_local var I __| EBP-4
|_local var II__| EBP-8
在上面的图中，变量I 和II是传递给函数的参数。在返回地址和保存ESP之后，var I和II是函数的局部变量。现在，如果我们总结所有我们所讲的，当调用一个函数的时候：
1.我们保存老的堆栈指针，PUSH它到堆栈 2.我们保存下一个指令的地址(返回地址)，PUSH它到堆栈。3.我们开始执行程序指令。
当我们调用一个函数时，上面3步都做了。
让我们在一个生动的例子中看堆栈的操作。
a.c :
void f(int a, int b, int c)
{
char z[4];
}
void main()
{
f(1, 2, 3);
} 用-g标志编译这个从而能够调试：
[murat@victim murat]$ gcc -g a.c -o a
让我们看看这里发生了什么：
[murat@victim murat]$ gdb -q ./a
(gdb) disas main
Dump of assembler code for function main:
0x8048448 : pushl 雙
0x8048449 : movl %esp,雙
0x804844b : pushl $0x3
0x804844d : pushl $0x2
0x804844f : pushl $0x1
0x8048451 : call 0x8048440
0x8048456 : addl $0xc,%esp
0x8048459 : leave
0x804845a : ret
End of assembler dump.
(gdb)
以上可见，main()函数中第一个指令是：
0x8048448 : pushl 雙
它支持老的指针，并把它压入堆栈。接着，拷贝老的堆栈指针倒ebp寄存器：
0x8048449 : movl %esp,雙
因而，从那时起，在函数中，我们将用EBP引用函数的局部变量。这两个指令被称为”程序引入”。接着，我们反序PUSH函数f()的参数到堆栈中。
0x804844b : pushl $0x3
0x804844d : pushl $0x2
0x804844f : pushl $0x1
我们调用这个函数：
0x8048451 : call 0x8048440
如我们已经通过CALL调用解释的那样，我们PUSH指令addl $0xc,%esp的地址0x8048456到堆栈。函数RET调用后，我们加12或者十六进制中的0xc(因为我们推入3个参数到堆栈中，每一个分配了4个字节(整型))。 接着我们离开main()函数，并且返回：
0x8048459 : leave
0x804845a : ret
好，在函数f()内部发生了什么呢？
(gdb)
disas f
Dump of assembler code for function f:
0x8048440 : pushl 雙
0x8048441 : movl %esp,雙
0x8048443 : subl $0x4,%esp
0x8048446 : leave
0x8048447 : ret
End of assembler dump.
(gdb)
开始两个指令都是一样的。它们是程序引入。接着我们看a：
0x8048443 : subl $0x4,%esp
从ESP减去了4个字节。这是为局部变量z分配空间。记得我们定义它为char z[4]？它是一个4字节的字符数组。最后，在末尾，函数返回：
0x8048446 : leave
0x8048447 : ret
好，让我们看另外一个例子：
b.c :
void f(int a, int b, int c)
{
char foo1[6];
char foo2[9];
}
void main()
{
f(1,2,3);
}
编译并且启动gdb，解析f：
[murat@victim murat]$ gcc -g b.c -o b
[murat@victim murat]$ gdb -q ./b
(gdb) disas f
Dump of assembler code for function f:
0x8048440 : pushl 雙
0x8048441 : movl %esp,雙
0x8048443 : subl $0x14,%esp
0x8048446 : leave
0x8048447 : ret
End of assembler dump.
(gdb)
可以看出，从ESP中减去了0x14(20字节)，尽管foo1和foo2的总长度只有9 6=15。这样的原因是，内存，还有堆栈，在4字节框架下编址。这意味着，你不能简单的PUSH 1字节数据到堆栈中。或者4字节或者为空。 f()北调用时，堆栈将象这样：
|_______$1_______| EBP 16
|_______$2_______| EBP 12
|_______$3_______| EBP 8
|_return address_| EBP 4
|___saved_ESP____| EBP ESP
|______foo1______| EBP-4
|______foo1______| EBP-8
|______foo2______| EBP-12
|______foo2______| EBP-16
|______foo2______| EBP-20
你可以相信，当我们对f001装载超过8个字节对和对foo2超过12个字节，我们将溢出他们的空间。如果你对foo1写入超过4个字节，你将重写被保护的EBP，而且……如果你写入超过4个字节，你将重写返回地址……而这不正是我们都想要的吗？这是内存溢出的基础……让我设法用一段简单的代码稍微阐明一下这种现象，假设我们有这样的代码：
c.c :
#include
void f(char *str)
{
char foo[16];
strcpy(foo, str);
}
void main()
{
char large_one[256];
memset(large_one, 'A', 255);
f(large_one);
}
[murat@victim murat]$ make c
cc -W -Wall -pedantic -g c.c -o c
[murat@victim murat]$ ./c
Segmentation fault (core dumped)
[murat@victim murat]$
我们在上面做的是简单的写255字节到一个只能容纳16字节的数组里。我们传递了一个256字节的大数组作为一个参数给f()函数。在函数内部，没有边界检测我们拷贝了整个large_one到foo，溢出了foo和其它数据。因此缓冲区被填写了，同样的strcpy()用A填写了内存的其它部分，包括返回地址。
这里是用gdb生成核文件代码的检查：
[murat@victim murat]$ gdb -q c core
Core was generated by `./c'.
Program terminated with signal 11, Segmentation fault.
find_solib: Can't read pathname for load map: Input/output error
#0 0x41414141 in ?? ()
(gdb)
可以看出，CPU在EIP中看到0x41414141(041是字母A的十六进制ASCII码)，试图存储和执行此处的指令。然而，0x41414141不是我们的程序被允许存储的内存地址。最后操作系统发了一个SIGSEGV(Segmentation Violation)段侵犯信号给程序并且停止了任何进一步的操作。
我们调用f()时，堆栈看起来象这样：
|______*str______| EBP 8
|_return address_| EBP 4
|___saved_ESP____| EBP ESP
|______foo1______| EBP-4
|______foo1______| EBP-8
|______foo1______| EBP-12
|______foo1______| EBP-16
strcpy()从foo1的开头，EBP-16开始，拷贝large_one到foo，没有边界检查，用A填充了整个堆栈。
现在我们能够重写返回地址，如果我们放一些其它的内存段地址，我们能在那里执行指令码？答案是肯定的。假如我们放了一些 /bin/sh spawn出的指令在一些内存地址中，而我们把这个地址放到我们溢出的这个函数返回地址中，我们就能spawn出一个shell，而且很有可能，既然你已经对setuid二进制程序感兴趣了，我们将spawn出一个root shell。