缓冲区溢出攻击实验报告_林凯杰_30601340

缓冲区溢出攻击实验【实验要求】1）基本要求：编写一个能实现缓冲区溢出（整数溢出或堆栈溢出）的程序。

语言不限（c，c++，c#，java等均可），环境也不限（linux或windows等）。

并在调试状态下（如linux的gdb或其他集成开发环境的调试命令）查看寄存器和相应存储单元内容的变化情况。

分析并解释缓冲区溢出的原因。

提交：分析文档（要给出调试过程和运行过程中的一些必要的截图），源代码等。

2）提高要求：在上述溢出的情况下，改写ret地址，增加shellcode代码，实现本地或远程管理员权限的非授权访问。

例：一个简单的shellcode程序：/* linux下的一个程序*/＃include <stdio.h>void main() {char *name[2];name[0]="/bin/sh";name[1]=NULL;execve(name[0]，name，NULL);}也可用gdb对其反汇编（主要分析execve和exit函数调用的机器指令），获得相关的汇编代码，进一步处理为16进制机器代码，形如char shellcode[]="\xeb\xlf.......\bin\sh";然后利用strcpy等脆弱性函数植入shellcode.【实验原理】实验主要是利用strcpy等脆弱性函数在执行时没有检查缓冲区长度的特性，通过往程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，造成程序崩溃或使程序转而执行其它指令，以达到攻击的目的。

1、局部变量与堆栈的关系在一个程序中，会声明各种变量。

静态全局变量是位于数据段并且在程序开始运行的时候被初始化，而局部变量则在堆栈中分配，只在该函数内部有效。

如果局部变量使用不当，会造成缓冲区溢出漏洞。

例如，以下程序将命令行的第1个参数拷贝到buffer局部变量中。

void main(int argc，char **argv){char buf[80];strcpy(buf，argv[1]);}在一次函数调用中，堆栈中将被依次压入：参数、返回地址。

如果函数有局部变量，接下来，就在堆栈中开辟相应的空间(SUB ESP，x)以构造变量。

函数执行结束时，恢复堆栈到函数调用的地址，弹出返回地址到EIP以继续执行程序。

例如，调用函数main(int argc，char **argv)时，堆栈的使用情况如下图所示。

低ESP→ESP→ESP→高ESP→ESP→2)4)2、利用堆栈溢出运行攻击代码攻击的最关键在于利用缓冲区溢出部分的数据覆盖堆栈，用特定的地址替换堆栈中的返回地址，这样当函数调用返回的时候就会把我们替换的返回地址弹出到当前基址，继续执行就会转入我们想要跳转的地址执行事先设定好的代码段了。

在上面的例子中，如果给定的字符串(argv[1])长度小于80，则程序可正常运行。

如果给出的argv[1]长度为100个字节，strcpy将这个字符串拷贝到堆栈时，会将堆栈中的“寄存器、EIP、argc、argv”等有效数据覆盖。

在第4、5步执行时必然得到错误的返回地址(EIP)，导致程序出错。

在这里堆栈溢出的原因在于：由于字符串处理函数(gets，strcpy等)没有对数组越界加以判断和限制，利用超长字符数组，越界覆盖堆栈中的原有元素的值，可以修改堆栈中的返回地址，并执行由返回地址指向的代码。

如下图所示，可以让该返回地址指向的指令执行一段特殊代码，即图中的阴影部分。

当发生堆栈溢出时，堆栈中的EIP被替换为EIP’。

执行ret指令时，执行由EIP’指向的攻击代码，而不会返回到主程序中。

低ESP→EIP→ESP→高ESP→1) 3)4)EIP【实验环境】操作系统：Ubuntu 11.04GDB版本：Ubuntu/Linaro 7.2-1ubuntu11 i686-linux-gnuCPU型号：Intel(R) Core(TM)i5 M520 @2.4GHzIDE：codeblocks10.04 官方版本【实验过程】1、基础演示缓冲区溢出本次演示的缓冲区溢出要达到的效果是改变程序调用的函数，定义运算函数Div（除法）和Mod(取模)，一个函数指针myPoint用以指向以上两个函数进行函数调用，先使myPoint 指向除法函数，然后通过strcpy向缓冲区复制的时候利用溢出覆盖掉myPoint指向的地址，从而使得本该是除法的函数调用变成取模的函数调用。

主要代码如下：#include <stdio.h>#include <stdlib.h>int Div(int x, int y){return x/y;} /*定义除法函数*/int Mod(int x, int y){return x%y;} /*定义取模函数*/typedef int (*funPoint)(int, int); /*定义函数指针*/char attack[12] = "HACKFLOW"; /*溢出字串*/char buffer[4] = "ABC"; /*缓冲区*/funPoint myPoint= &Div; /*函数指针,指向除法*/void main(){/*修改溢出字串,以Mod地址覆盖myPoint指针*/*((long *) &attack[4]) = (int) &Mod;/*向buffer复制attack字串,溢出修改myPoint指针*/strcpy(buffer, attack);/*发生溢出,执行函数从除法被改成了取模,结果本该是3*/printf("\ncall myPoint: 6 / 2 = %d\n", myPoint(6,2));}以上的代码运行效果如下：可以看到，在这里buffer的地址是0x80cf034，而myPoint的地址是0x80cf038，因为这里buffer的长度才4个字节，所以这两个地址相差为4，而这里向buffer复制的字符串长度为9（即为attack的内容），其中前面四个字为HACK，这四个字将会存在buffer 中，接下来4个字紧跟在buffer后面，发生溢出，覆盖了myPoint的值，而这四个字我们通过*((long *) &attack[4]) = (int) &Mod; 赋值为取模函数的地址了，所以在执行完strcpy后，虽然没有显示修改myPoint的值，但我们通过上图也可以看到，myPoint的值由于strcpy被覆盖成了80482d0（取模），而不再是80482c0（除法）的地址，所以最后我们得到的值为6 / 2 = 0。

2、提高使用shellcode进行溢出攻击1）shellcode生成a）分析shellcode执行过程Shellcode的核心代码如下：#include <stdio.h>void main() {char *name[2];name[0] = "/bin/sh";name[1] = NULL;execve(name[0], name, NULL);}我们通过gdb反汇编分析得：让我们来看一下这段汇编代码都做了些啥：(gdb) disassemble mainDump of assembler code for function main:0x080482c0 <+0>: push %ebp0x080482c1 <+1>: mov %esp,%ebp↖准备工作，首先保存老的帧指针, 用当前的堆栈指针作为新的帧指针0x080482c3 <+3>: and $0xfffffff0,%esp0x080482c6 <+6>: sub $0x20,%esp↖为变量预留空间，指针偏移0x080482c9 <+9>: movl $0x80ae428,0x18(%esp)0x080482d1 <+17>: movl $0x0,0x1c(%esp)↖给变量赋值0x080482d9 <+25>: mov 0x18(%esp),%eax0x080482dd <+29>: movl $0x0,0x8(%esp)0x080482e5 <+37>: lea 0x18(%esp),%edx0x080482e9 <+41>: mov %edx,0x4(%esp)0x080482ed <+45>: mov %eax,(%esp)↖把函数执行需要的参数存入寄存器中0x080482f0 <+48>: call 0x8052f10 <execve>↖进入函数调用0x080482f5 <+53>: leave0x080482f6 <+54>: ret↖主函数返回以上是主函数的汇编代码，我们再来看一下execve函数执行的过程：(gdb) disassemble __execveDump of assembler code for function execve:0x08052f10 <+0>: push %ebp0x08052f11 <+1>: mov %esp,%ebp0x08052f13 <+3>: mov 0x10(%ebp),%edx0x08052f16 <+6>: push %ebx↖准备工作，首先保存老的帧指针, 用当前的堆栈指针作为新的帧指针0x08052f17 <+7>: mov 0xc(%ebp),%ecx↖把name的内存地址写入ecx寄存器0x08052f1a <+10>: mov 0x8(%ebp),%ebx↖把”/bin/sh”的地址写入寄存器exb0x08052f1d <+13>: mov $0xb,%eax↖把execve系统调用索引写入eax寄存器0x08052f22 <+18>: call *0x80cf098进入内核调用模式从上面我们可以看出来，调用execve()要做的事情如下：a)把以NULL结尾的字串"/bin/sh"放到内存某处。

b)把字串"/bin/sh"的地址放到内存某处, 后面跟一个空的长字(nulllong word)。

c)把0xb放到寄存器EAX中。

d)把字串"/bin/sh"的地址放到寄存器EBX中。

e)把字串"/bin/sh"地址的地址放到寄存器ECX中。