网络安全第六讲

5
第五章 缓冲区溢出攻击
5
第五章 缓冲区溢出攻击
5.1 5.2 5.3 5.4
缓冲区溢出攻击概述
缓冲区溢出程序的原理及要素
攻击UNIX 攻击Windows
5.1
缓冲区溢出攻击概述
• 缓冲区溢出是一种非常普遍、非常危险的 漏洞，在各种操作系统、应用软件中广泛 存在。利用缓冲区溢出攻击，可以导致程 序运行失败、系统宕机、重新启动等后果 。更为严重的是，可以利用它执行非授权 指令，甚至可以取得系统特权，进而进行 各种非法操作。
缓冲区溢出程序原理及要素
• 在C语言中，指针和数组越界不保护是 Buffer overflow的根源。 • 在C语言标准库中存在像strcpy，gets这样 问题的标准函数还有strcat(), sprintf()和 scanf()等。 • 要透彻地理解这种攻击方式，需要计算机 体系架构方面的基础知识，理解CPU、寄 存器、内存是怎样协同工作而让程序流畅 执行的。
5.1
• 定义
缓冲区溢出攻击概述
– 缓冲区溢出攻击是一种通过往程序的缓冲区写超出其 长度的内容，造成缓冲区溢出，从而破坏程序的堆栈， 使程序转而执行其他预设指令，以达到攻击目的的攻 击方法。
• 分类
– 基于堆栈的缓冲区溢出（栈溢出） – 基于Heap/BSS的缓冲区溢出
5.2
缓冲区溢出程序原理及要素
Linux进程内存空间结构
Linux进程内存空间
• Highest zone (0xc0000000-3G) – 进程环境参数: env strings & pointers – 进程参数: argv strings & pointers, argc • 栈 – 存储函数参数、本地参数和栈状态变量 (返回地址, …) – LIFO, 向低地址增长 • 堆 – 动态分配变量 (malloc) – 向高地址增长 • .bss: uninitialized data • .data: static initialized data • .text(0x80000000): 指令, 只读数据
• 缓冲区溢出程序的原理
– 众所周知，C语言不进行数组的边界检查。 – 在许多C语言实现的应用程序中，都假定缓 冲区的长度是足够的，即它的长度肯定大于 要拷贝的字符串的长度。
事实并非如此
5.2
缓冲区溢出程序原理及要素
例1： #include <stdio.h> void function(char *str) { char buffer [9]; strcpy(buffer,str); } void main() { char *input="1234567890"; function(input); }
5.1
缓冲区溢出攻击概述
• 缓冲区溢出攻击有多种英文名称：buffer overflow，buffer overrun，smash the stack，trash the stack，scribble the stack ，mangle the stack，memory leak， overrun screw；它们指的都是同一种攻击 手段。 • 第一个缓冲区溢出攻击—Morris蠕虫，发生 在1988年，它曾造成了全世界6000多台网 络服务器瘫痪。
这段代码执行到
int verify_password (char *password)
时
的栈帧状态如下图所示。
分析：在verify_password 函数的栈帧中，局部变 量authenticated恰好位于缓冲区buffer[8]的“下方”。 authenticated为int类型，在内存中占4个字节。所以， 如果能够让buffer数组越界，buffer[8]、buffer[9]、 buffer[10]、buffer[11]将写入相邻的变量authenticated 中。 如果我们输入的密码超过了7个字符（注意：字符 串截断符NULL将占用一个字节），则越界字符的ASCII 码会修改掉authenticated的值。如果这段溢出数据恰 好把authenticated改为0，则程序流程将被改变。
缓冲区溢出程序原理及要素
• 第二种方法：
– 修改程序的返回地址，让它去执行一段精心准备的恶意 代码。 – 具体包括： • 得到‘有问题程序’返回点的精确位置。 • 编写一个恶意代码。 • 将返回点的地址覆盖成装载有恶意代码的地址。
缓冲区溢出程序原理及要素
缓冲区溢出程序原理及要素
• 上述攻击中的“恶意代码”被称为ShellCode 或者Payload。 • ShellCode的作用：获得操作系统的操作权。
#include <stdio.h> #define PASSWORD "1234567" int verify_password (char *password) { int authenticated; char buffer[8]; // add local buff to be overflowed authenticated=strcmp(password,PASSWORD); strcpy(buffer,password); //over flowed here! return authenticated; } void main() { int valid_flag=0; char password[1024]; while(1) { printf("please input password: "); scanf("%s",password); valid_flag = verify_password(password); if(valid_flag) { printf("incorrect password!\n\n"); } else { printf("Congratulation! You have passed the verification!\n"); break; } }
5.1
缓冲区溢出攻击概述
• 莫里斯蠕虫病毒
– 1988年，美国康奈尔大学的计算 机科学系研究生、23岁的莫里斯 利用Unix fingerd程序不限制输入 长度的漏洞，输入512个字符后使 缓冲器溢出，同时编写一段特别 大的恶意程序能以root（管理员） 身份执行，并感染到其他机器上。 – 它造成全世界6000多台网络服务 器瘫痪。
– 代码区：这个区域存储着被装入执行的二进制 机器代码，处理器会到这个区域取指并执行。 – 数据区：用于存储全局变量等。
进程内存空间结构
• 堆区：进程可以在堆区动态地请求一定大 小的内存，并在用完之后归还给堆区。 • 栈区：用于动态地存储函数之间的调用关 系，以保证被调用函数在返回时恢复到调 用函数中继续执行。
• 关键技术
–在程序的地址空间安排适当的代码（ ShellCode的编写） –将控制程序转移到攻击代码的方式
• Function Pointers Overwrite（覆盖函数指针） • Activation Records（覆盖函数调用的返回地址） • Longjmp buffers（利用跳转指令） • 植入码和流程控制（覆盖函数栈）
– PUSH: 压栈 – POP: 弹栈
22
函数调用过程
• 函数调用过程的三个 步骤
– prologue: 保存当前的 栈基址 (ebp). – call: 调用参数和返回地 址(eip)压栈，跳转到函 数入口 – return (or epilogue): 恢 复调用者原有栈
23
函数调用示例
int func_B(int arg_B1, int arg_B2) { int var_B1, var_B2; var_B1=arg_B1+arg_B2; var_B2=arg_B1-arg_B2; return var_B1*var_B2; } int func_A(int arg_A1, int arg_A2) { int var_A; var_A = func_B(arg_A1,arg_A2) + arg_A1 ; return var_A; } int main(int argc, char **argv) { int var_main; var_main=func_A(4,3); return var_main }
这段代码编译后，各个函数对应的机器指令在代码区中可能是这 样分布的（我们可以简单地把它们在内存代码区中的分布位置理解 成是散乱无关的）。
缓冲区溢出程序原理及要素
• 第一种方法：
– 通过溢出改写邻接变量，导致程序流程发生改 变。 – 这种漏洞利用方法对代码环境的要求相对比较 苛刻。 – 例子:突破密码验证程序。
• Dark Spyrit：提出使用系统核心DLL中的Jmp ESP 指令完成跳转，Phrack 55 • M.Conover：基于堆的缓冲区溢出教程
5.1
缓冲区溢出攻击概述
– 2001年始，微软的IIS5.0一系列的漏洞被发现， 其中不少漏洞是由于Unicode的处理问题造成 的，在攻击利用的时候与Windows所支持的语 言字符集密切相关。（《Widechar的字符串缓 冲区溢出攻击技术》） – 2003年8月引起全球轰动的“冲击波”病毒及 变种，也是利用Windows RPC服务的缓冲区溢 出漏洞来进行传播的。 – 2004年5月的“震荡波”病毒及变种也是利用 了Windows系统的缓冲区漏洞。 – 目前
5.2
缓冲区溢出程序原理及要素
例 2： #include<stdio.h> int main() { char name[8]; printf("please type your name:"); gets(name); printf("hello,%s!",name); return 0; }