lec03e-Machine Language-Mis Topics

Note: Unary +, -, and * have higher precedence than binary forms
CSAPP L3e Chp3.9
Wu Spring 11 ©USTC
C 指针声明
int *p int *p[13] int *(p[13]) int **p int (*p)[13] int *f() int (*f)() int (*(*f())[13])() p is a pointer to int p is an array[13] of pointer to int p is an array[13] of pointer to int p is a pointer to a pointer to an int p is a pointer to an array[13] of int f is a function returning a pointer to int f is a pointer to a function returning int f is a function returning ptr to an array[13] of pointers to functions returning int x is an array[3] of pointers to functions returning pointers to array[5] of ints
BF
Stack
链接后
BF
Stack
一些堆
BF
Stack
更多的 堆
BF
Stack
80 7F
80 7F
80 7F
80 7F Heap Heap
40 3F Data Text
40 3F
DLLs
40 3F
DLLs
40 3F
DLLs Heap Data Text
Wu Spring 11 ©USTC
08 00
08 00
Data Text
08 00
Data Text
08 00
CSAPP L3e Chp3.4
Text & Stack Example Initially
BF
Stack
(gdb) break main (gdb) run Breakpoint 1, 0x804856f in main () (gdb) print $esp $3 = (void *) 0xbffffc78
40 3F
DLLs Heap Data Text
°数据 数据(data) 数据
• 静态分配的数据 • E.g., 代码中声明的数组 &字符串 字符串
°代码 代码(text1 ©USTC
CSAPP
08 00 L3e Chp3.3
Linux 存储分配 初始
结合性
left to right right to left left to right left to right left to right left to right left to right left to right left to right left to right left to right left to right right to left right to left left to right
Wu Spring 11 ©USTC
int (*(*x[3])())[5]
CSAPP L3e Chp3.10
避免复杂声明 °使用 使用typedef来构造声明 来构造声明 使用 °代替 int (*(*x[3])())[5] : 代替 ° ° ° ° typedef int fiveints[5]; typedef fiveints* p5i; typedef p5i (*f_of_p5is)(); f_of_p5is x[3];
Wu Spring 11 ©USTC
Overview
°Linux Memory Layout °Understanding Pointers °Buffer Overflow °Floating Point Code
CSAPP L3e Chp3.2
Wu Spring 11 ©USTC
Red Hat FF v. 6.2 ~1920MB memory limit C0
°X is an array of 3 elements, each of which is a pointer to a function returning an array of 5 ints.
CSAPP L3e Chp3.11
Wu Spring 11 ©USTC
Internet蠕虫和即时消息系统大战 蠕虫和即时消息系统大战 °1988年11月 年 月
BF
Linux 存储布局 °栈(stack) 栈
• 运行时栈 (8MB限制 限制) 限制
Stack
°堆(heap) 堆
• 动态分配存储 • 当调用malloc, calloc, new时 当调用
Upper 2 hex 80 digits of 7F address
°DLLs
Heap
• 动态链接库 • 基本库(e.g., printf, malloc) 基本库 • 当加载时链接到目标代码中
Linked
BF
Stack
80 7F
°最初 最初
• 代码执行在调用动态链接器的 代码执行在调用动态链接器的Text段 段 • 地址 0x8048454 应该记为0x08048454 应该记为
40 3F
DLLs
°最终 最终
• 代码在 代码在DLL 区域 08 00
Data Text
CSAPP L3e Chp3.6
• Unix中gets函数的实现 中 没有办法限制要读入的字符串大小 /* Get string from stdin */ char *gets(char *dest) { int c = getc(); char *p = dest; while (c != EOF && c != '\n') { *p++ = c; c = getc(); } *p = '\0'; return dest; } • 相似的问题出现在 相似的问题出现在Unix其它函数中 其它函数中 - strcpy: 任意长度字符串拷贝 - scanf, fscanf, sscanf, 当给出 当给出%s格式转换符
80 7F Heap
40 3F
DLLs Heap Data Text
08 00
Wu Spring 11 ©USTC
C 操作符 操作符
() [] -> . ! ~ ++ -- + - * & (type) sizeof * / % + << >> < <= > >= == != & ^ | && || ?: = += -= *= /= %= &= ^= != <<= >>= ,
AIM client MSN server MSN client AIM client AIM server
CSAPP L3e Chp3.12
Wu Spring 11 ©USTC
Internet蠕虫和即时消息系统大战 续) 蠕虫和即时消息系统大战(续 蠕虫和即时消息系统大战 °1999年8月 年 月
• 神秘地 Messenger 客户端不能登陆 神秘地, 客户端不能登陆AIM服务器 服务器. 服务器 • Microsoft 和AOL开始了 大战 开始了IM 开始了 大战: - AOL修改了服务器不允许 修改了服务器不允许Messenger客户端 修改了服务器不允许 客户端 - Microsoft客户端不断尝试模拟 客户端不断尝试模拟AOL IM的协议，至少 次 的协议， 客户端不断尝试模拟 的协议 至少13次 - 但是 但是AOL就是能够确定一个用户运行的客户端版本 就是能够确定一个用户运行的客户端版本. 就是能够确定一个用户运行的客户端版本 • 这是怎么回事 这是怎么回事?
CSAPP L3e Chp3.15
Wu Spring 11 ©USTC
缓冲区溢出执行
unix>./bufdemo Type a string:123 123 unix>./bufdemo Type a string:12345 Segmentation Fault unix>./bufdemo Type a string:12345678 Segmentation Fault
°Internet 蠕虫和 蠕虫和AOL/Microsoft大战都是基于栈缓冲区溢 大战都是基于栈缓冲区溢 出漏洞! 出漏洞
许多Unix函数不做参数大小的检查 函数不做参数大小的检查 许多 允许目标缓冲溢出. 允许目标缓冲溢出
CSAPP L3e Chp3.13
Wu Spring 11 ©USTC
字符串库函数
80 7F
°Main
• Address 0x804856f should be read 0x0804856f
40 3F Data Text
°Stack
• Address 0xbffffc78
08 00
CSAPP L3e Chp3.5
Wu Spring 11 ©USTC
动态链接的例子
(gdb) print malloc $1 = {<text variable, no debug info>} 0x8048454 <malloc> (gdb) run Program exited normally. (gdb) print malloc $2 = {void *(unsigned int)} 0x40006240 <malloc>