搜索

[26830] 2019-06-01_栈溢出入门系列-临近变量淹没

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2019-06-01_栈溢出入门系列-临近变量淹没 栈 溢 出 入 门 系 列 - 临 近 变 量 淹 没 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 1 9 - 0 6 - 0 1 本 文 作 者 ： r k v i r （ M s 0 8 0 6 7 实 验 室 合 伙 人 & 二 进 制 小 组 组 长 ） 人 才 招 募 ： 二 进 制 小 组 寻 找 二 进 制 领 域 志 同 道 合 的 朋 友 一 一 .   实 验 环 境 ： 实 验 环 境 ： 操 作 系 统 操 作 系 统 W i n d o w s   X P   S P 3 开 发 环 境 开 发 环 境 V C + +   6 . 0 调 试 器 调 试 器 O l l y d b g   二 二 .   实 验 代 码 ： 实 验 代 码 ： # i n c l u d e   < s t d i o . h > # i n c l u d e < s t r i n g . h >   # d e f i n e   P A S S W O R D   " 1 2 3 4 5 6 7 "   i n t   v e r i f y _ p a s s w o r d   ( c h a r   * p a s s w o r d ) { i n t   a u t h e n t i c a t e d ; c h a r   b u f f e r [ 8 ] ; a u t h e n t i c a t e d = s t r c m p ( p a s s w o r d , P A S S W O R D ) ; s t r c p y ( b u f f e r , p a s s w o r d ) ; r e t u r n   a u t h e n t i c a t e d ; }     m a i n ( ) { i n t   v a l i d _ f l a g = 0 ; c h a r   p a s s w o r d [ 1 0 2 4 ] ; w h i l e ( 1 ) { p r i n t f ( " p l e a s e   i n p u t   p a s s w o r d :               " ) ; s c a n f ( " % s " , p a s s w o r d ) ; v a l i d _ f l a g   =   v e r i f y _ p a s s w o r d ( p a s s w o r d ) ; i f ( v a l i d _ f l a g ) { p r i n t f ( " i n c o r r e c t   p a s s w o r d ! n n " ) ; } e l s e { p r i n t f ( " C o n g r a t u l a t i o n !   Y o u   h a v e   p a s s e d   t h e   v e r i f i c a t i o n ! n " ) ; b r e a k ; } } }       三 三 .   溢 出 原 理 溢 出 原 理 程 序 未 对 输 入 的 密 码 进 行 长 度 检 测 ， 接 收 密 码 的 缓 冲 区 只 有 8 ， 而 输 入 的 密 码 最 长 可 以 输 入 1 0 2 4 。 判 断 密 码 是 否 正 确 的 变 量 a u t h e n t i c a t e d 存 储 在 栈 中 ， 当 输 入 的 密 码 长 度 大 于 8 时 ， 输 入 的 字 符 串 将 冲 破 缓 冲 区 ， 淹 没 a u t h e n t i c a t e d 所 处 的 位 置 。 当 密 码 错 误 时 a u t h e n t i c a t e d 的 值 是 1 ， 正 确 的 时 候 a u t h e n t i c a t e d 的 值 是 0 . 这 就 意 味 着 我 们 可 以 构 造 一 个 合 适 的 输 入 字 符 串 来 改 变 判 断 结 果 。  
四 四 .   实 战 调 试 实 战 调 试 我 们 的 重 点 不 是 逆 向 工 程 ， 而 是 漏 洞 分 析 ， 故 此 不 再 详 诉 诸 如 寻 找 m a i n 函 数 等 逆 向 知 识 。 1 .   在 j m p   m a i 下 断 点 ， 方 便 后 续 反 复 调 试 2 .   单 步 步 入 m a i n 函 数 分 析 程 序 3 .   分 析 m a i n 函 数 逻 辑 ， 可 以 看 出 主 要 问 题 出 在 密 码 比 对 函 数 0 0 4 0 1 0 0 5 3 . 1   输 出 引 导 字 符 串 后 ， 要 求 用 户 输 入 密 码 。 3 . 2   通 过 0 0 4 0 1 0 0 5 处 的 函 数 进 行 密 码 比 对 3 . 3   判 断 比 对 结 果 是 不 是 0 ， 如 果 是 0 则 输 出 成 功 字 符 串 ， 如 果 是 1 则 输 出 失 败 字 符 串 。 4 .   单 步 执 行 程 序 ， 随 便 输 入 一 个 密 码 ， 然 后 单 步 步 入 0 0 4 0 1 0 0 5 函 数 ， 分 析 这 个 函 数 的 内 容 。 4 . 1     可 以 看 出 这 个 0 0 4 0 1 0 0 5 是 个 跳 转 ， 直 接 单 步 进 入 函 数 真 实 位 置 。
4 . 2   进 入 到 函 数 内 部 后 可 以 看 到 真 正 的 密 码 是 1 2 3 4 5 6 7 ， 如 果 我 们 是 在 逆 向 破 解 这 个 程 序 ， 那 么 到 了 这 一 步 ， 就 已 经 算 是 成 功 了 。 但 是 我 们 的 目 的 是 分 析 漏 洞 ， 所 以 我 们 现 在 进 一 步 分 析 这 个 函 数 。 4 . 2 . 1     可 以 看 出 ， 在 s t r c m p 之 后 ， e b p - 4 的 位 置 上 就 有 了 密 码 比 对 的 结 果 4 . 2 . 1 . 1     s t r c m p 比 对 密 码 ， 将 比 对 结 果 存 入 e b p - 4 的 位 置 上 4 . 2 . 1 . 2   栈 中 的 密 码 比 对 结 果 4 . 2 . 2   如 果 是 正 常 的 程 序 ， 这 个 时 候 就 应 该 返 回 了 ， 但 是 因 为 是 实 验 代 码 ， 所 以 下 面 还 有 一 个 s t r c p y 的 拷 贝 函 数 ， 将 输 入 的 密 码 字 符 串 拷 贝 入 一 个 长 度 为 8 的 缓 冲 区 中 。 4 . 2 . 3   当 执 行 完 s t r c p y 的 时 候 我 们 看 一 下 堆 栈 区 ， 可 以 看 到 字 符 串 缓 冲 区 的 位 置 就 在 密 码 字 符 串 比 对 结 果 旁 边 ， 并 且 s t r c p y 没 有 对 拷 贝 入 的 字 符 串 进 行 长 度 判 断 。 因 此 我 们 可 以 判 断 ， 我 们 在 构 造 一 个 合 适 的 字 符 串 传 入 的 情 况 下 ， 是 可 以 覆 盖 密 码 字 符 串 比 对 结 果 的 。 这 也 意 味 着 我 们 可 以 传 入 一 个 合 适 的 字 符 串 来 冲 破 密 码 验 证 。 5 .   我 们 重 新 加 载 这 个 程 序 ， 并 且 传 入 一 个 特 定 的 字 符 串 “ q q q q q q q q ”
6 .   运 行 到 密 码 比 对 函 数 进 行 分 析 6 . 1   可 以 看 出 s t r c m p 函 数 没 有 任 何 问 题 的 执 行 成 功 并 且 返 回 了 1 ， 代 表 密 码 错 误 。 并 且 把 存 储 在 e a x 中 的 返 回 值 存 储 到 e b p - 4 的 位 置 上 。 6 . 1 . 1   函 数 执 行 6 . 1 . 2   返 回 值 存 储 在 e a x 中 6 . 1 . 3   e a x 中 的 值 m o v 到 了 e b p - 4 的 位 置 上 6 . 2   下 面 到 了 引 起 溢 出 错 误 的 s t r c p y 函 数 ， 详 细 分 析 该 函 数 溢 出 的 过 程 。 6 . 2 . 1 首 先 记 录 一 下 s t r c p y 没 有 执 行 前 堆 栈 的 情 况 6 . 2 . 2   执 行 s t r c p y 函 数 6 . 2 . 3   可 以 看 到 ， 堆 栈 中 原 本 保 存 着 密 码 比 对 结 果 的 位 置 e b p - 4 ， 由 于 传 入 字 符 串 超 长 ， 已 经 被 覆 盖 成 了 0 。 这 样 一 来 ， 原 本 比 对 失 败 的 结 果 就 变 成 了 比 对 成 功 。 7 .   运 行 至 返 回 ， 成 功 输 出 密 码 比 对 成 功 的 信 息
7 . 1   控 制 台 成 功 信 息 8 .   那 么 是 任 何 长 于 1 2 3 4 5 6 7 的 字 符 串 都 可 以 成 功 覆 盖 比 对 结 果 吗 ， 尝 试 一 下 ， 输 入 9 个 q ， 可 以 看 到 ， 对 比 结 果 的 位 置 上 并 没 有 被 覆 盖 成 0 0 ， 而 是 7 1 ， 而 只 有 对 比 结 果 等 于 0 才 可 以 成 功 验 证 。 这 说 明 不 是 任 意 长 度 字 符 串 都 可 以 。 9 .   那 么 有 什 么 结 果 可 以 覆 盖 成 整 好 是 0 呢 ， 那 么 答 案 是 长 度 为 8 的 字 符 串 ， 长 度 为 8 的 字 符 串 实 际 长 度 为 9 ， 因 为 还 有 用 来 标 记 字 符 串 结 束 的 0 0 ， 我 们 就 是 要 使 用 结 尾 处 的 0 0 来 覆 盖 对 比 结 果 ， 使 其 数 值 为 0 。 来 源 ： M s 0 8 0 6 7 安 全 实 验 室
  m s 0 8 0 6 7 安 全 实 验 室 界 世 的 你 当 作 你 的 肩 膀
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理