搜索

[13588] 2018-12-29_ARM汇编之内存损坏：堆栈溢出

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-12-29_ARM汇编之内存损坏：堆栈溢出 A R M 汇 编 之 内 存 损 坏 ： 堆 栈 溢 出 原 创   x i o n g c h a o c h a o   F r e e B u f   2 0 1 8 - 1 2 - 2 9 引 言 引 言 本 篇 文 章 适 用 于 想 要 学 习 本 篇 文 章 适 用 于 想 要 学 习 A R M 汇 编 在 漏 洞 方 面 的 骚 年 们 。 特 别 是 对 那 些 对 汇 编 在 漏 洞 方 面 的 骚 年 们 。 特 别 是 对 那 些 对 A R M 平 台 上 的 漏 洞 利 用 写 作 感 兴 趣 平 台 上 的 漏 洞 利 用 写 作 感 兴 趣 的 人 ， 本 篇 文 章 是 根 据 的 人 ， 本 篇 文 章 是 根 据 a z e r i a - l a b s . c o m 上 面 的 教 程 自 学 而 成 ， 总 结 出 一 些 属 于 自 己 的 一 些 学 习 成 果 ， 特 意 分 享 上 面 的 教 程 自 学 而 成 ， 总 结 出 一 些 属 于 自 己 的 一 些 学 习 成 果 ， 特 意 分 享 给 大 家 。 给 大 家 。 您 可 能 已 经 注 意 到 A R M 处 理 器 无 处 不 在 ， 就 像 我 们 日 常 用 的 A n d r o i d 、 I O S 系 统 都 因 了 A R M 处 理 器 架 构 。 当 我 环 顾 四 周 时 ， 我 可 以 计 算 出 比 我 的 处 理 器 更 多 的 家 用 A R M 处 理 器 的 设 备 。 这 包 括 电 话 ， 路 由 器 ， 不 要 忘 记 最 近 销 售 似 乎 爆 炸 的 物 联 网 设 备 。 也 就 是 说 ， A R M 处 理 器 已 成 为 全 球 最 广 泛 的 C P U 核 心 之 一 。 这 使 我 们 认 识 到 ， 像 P C 一 样 ， 物 联 网 设 备 容 易 受 到 不 正 确 的 输 入 验 证 滥 用 ， 例 如 缓 冲 区 溢 出 。 鉴 于 基 于 A R M 的 设 备 的 广 泛 使 用 以 及 滥 用 的 可 能 性 ， 对 这 些 设 备 的 攻 击 变 得 更 加 普 遍 。 不 管 你 是 想 学 嵌 入 式 、 漏 洞 挖 掘 、 A n d r o i d 开 发 等 都 是 需 要 了 解 A R M ， 快 来 入 手 新 的 技 能 吧 ！ 每 次 程 序 启 动 的 时 候 ， 为 他 分 配 的 内 存 空 间 可 以 分 为 很 多 区 段 ， 大 致 归 为 三 类 ： P r o g r a m   I m a g e S t a c k H e a p 栈 溢 出 栈 溢 出 这 里 不 介 绍 栈 了 ， 需 要 了 解 栈 的 详 细 介 绍 可 以 看 我 的 另 一 篇 文 章 A R M 汇 编 之 栈 , 下 面 直 接 进 入 正 题 这 里 使 用 的 C 代 码 ：
当 我 们 快 要 执 行 到 g e t s 函 数 的 时 候 ， 我 们 看 一 下 栈 分 布 ， 红 框 框 起 来 的 两 个 栈 地 址 ， 其 首 地 址 马 上 要 附 给 r 0 ， 然 后 作 为 参 数 传 进 g e t s 函 数 ： 执 行 完 g e t s 函 数 ， 输 入 7 个 a 后 ， r 0 存 放 的 那 个 栈 地 址 刚 好 被 写 满 ， 这 里 需 要 留 有 1 字 节 空 间 让 g e t s 写 入 空 字 符 （ g e t s 会 自 动 补 充 空 字 符 给 输 入 的 字 符 串 后 面 ， 所 以 如 果 出 入 的 是 8 个 a ， 那 么 下 面 的 帧 指 针 地 址 的 低 8 位 就 会 被 空 字 符 覆 盖 ） ， 表 示 一 句 字 符 串 的 结 束 。 我 们 可 以 看 见 这 些 用 户 输 入 的 字 符 存 放 的 位 置 是 很 危 险 的 ， 在 他 的 下 面 就 是 上 一 个 栈 帧 的 帧 指 针 ， 再 往 下 就 是 当 前 栈 帧 的 返 回 地 址 ， 也 是 当 前 栈 帧 的 首 地 址 。 返 回 地 址 ？ 返 回 地 址 ？ ， 如 果 我 们 覆 盖 了 它 ， 那 还 不 想 干 啥 就 干 啥 。 # i n c l u d e   " s t d i o . h " i n t   m a i n ( i n t   a r g c ,   c h a r   * * a r g v ) {                 c h a r   b u f f e r [ 8 ] ;                 g e t s ( b u f f e r ) ; }
下 面 我 们 就 具 体 多 输 入 几 个 字 符 ， 比 如 输 入 1 5 个 a 再 看 看 ， 可 以 看 到 覆 盖 返 回 地 址 完 成 ： 堆 溢 出 ： 堆 （ 堆 溢 出 ： 堆 （ H e a p ） 是 一 个 更 复 杂 的 内 存 区 域 ） 是 一 个 更 复 杂 的 内 存 区 域 堆 溢 出 主 要 分 两 类 ： 块 内 堆 溢 出 、 块 间 堆 溢 出 ， 为 什 么 分 为 这 两 种 方 式 呢 ？ 主 要 是 因 为 他 的 管 理 方 式 ， 堆 会 将 每 个 对 象 打 包 成 一 个 堆 块 （ e g : m a l l o c , 分 配 堆 块 的 函 数 ） 。 所 以 就 出 现 了 两 个 情 况 ， 一 个 堆 块 内 可 以 覆 盖 相 邻 变 量 的 内 容 、 相 邻 堆 块 的 覆 盖 堆 块 结 构 ： 头 、 用 户 数 据 区 。
块 内 堆 溢 出 块 内 堆 溢 出 下 面 通 过 一 个 例 子 来 帮 助 理 解 块 内 堆 溢 出 。 主 要 是 通 过 给 一 个 有 两 个 变 量 的 结 构 体 申 请 堆 块 ， 然 后 使 用 一 个 变 量 来 覆 盖 另 一 个 变 量 ， 从 而 达 到 块 内 堆 溢 出 存 在 溢 出 的 代 码 ： 编 译 后 的 结 果 ， 可 以 看 到 当 输 入 8 字 节 的 数 据 的 时 候 ， 结 构 体 对 象 内 部 （ 堆 块 内 ） 发 生 了 更 改 ， 造 成 变 量 n u m b e r 的 值 变 了 ： 详 细 分 析 详 细 分 析 先 找 到 g e t s 函 数 的 位 置 ， d i s a s s e m b l e   m a i n 反 汇 编 程 序 ， 第 一 个 b l 是 m a l l o c 申 请 堆 块 ， 第 二 个 b l 就 是 执 行 g e t s 函 数 了 ， 然 后 下 断 点 ， 运 行 过 去 即 可 ： # i n c l u d e   # i n c l u d e   s t r u c t   s t r u c t _ a {                 c h a r   s t r i n g [ 8 ] ;                 i n t   n u m b e r ; } ; i n t   m a i n ( ) {                 s t r u c t   s t r u c t _ a *   o b j A   =   m a l l o c ( s i z e o f ( s t r u c t   s t r u c t _ a ) ) ;                 o b j A - > n u m b e r   =   1 2 3 4 ;                 g e t s ( o b j A - > s t r i n g ) ;                 i f ( o b j A - > n u m b e r = = 1 2 3 4 )                 {                                 p u t s ( " M e m o r y   v a l i d ! " ) ;                 } e l s e {                                 p u t s ( " M e m o r y   c o r r u p t e d ! " ) ;                 }                 r e t u r n   0 ; } p i @ r a s p b e r r y p i : ~ / D e s k t o p   $   . / a . o u t   a a a a M e m o r y   v a l i d ! p i @ r a s p b e r r y p i : ~ / D e s k t o p   $   . / a . o u t   a a a a a a a M e m o r y   v a l i d ! p i @ r a s p b e r r y p i : ~ / D e s k t o p   $   . / a . o u t   a a a a a a a a M e m o r y   c o r r u p t e d !
运 行 过 去 后 ， 执 行 这 个 函 数 ， 正 常 输 入 7 字 节 数 据 ， 即 7 个 a ， 这 个 时 候 我 们 使 用 v m m a p 查 看 整 个 内 存 空 间 的 映 射 ， 可 以 从 下 图 看 到 ， 这 个 堆 块 的 开 始 位 置 是 0 x 0 0 0 2 1 0 0 0 ， 然 后 使 用 x / 8 x 查 看 堆 后 的 8 个 双 字 的 数 据 。 可 以 看 到 7 个 a 成 功 写 入 这 个 区 域 ， 并 且 紧 随 其 后 的 就 是 结 构 体 的 另 一 个 i n t 型 变 量 n u m b e r ， 很 明 显 如 果 不 对 输 入 进 行 长 度 判 断 ， 就 会 导 致 堆 块 内 另 一 个 变 量 的 内 存 数 据 进 行 覆 盖 ， 下 面 具 体 操 作 一 下 。 这 次 验 证 我 们 选 择 输 入 8 个 a ， 再 次 进 行 上 面 同 样 的 操 作 ， 和 上 面   的 输 出 对 比 ， 0 x 0 0 0 0 0 4 d 2 被 改 成 了 0 x 0 0 0 0 0 4 0 0 , 为 什 么 会 这 样 呢 ? 因 为   g e t s 函 数 会 自 动 向 字 符 串 结 尾 添 加 空 字 符 并 且 堆 块 内 的 这 个 字 符 数 组 变 量 被 占 满 了 ， 所 以 g e t s 向 下 添 加 空 字 符 ， 造 成 同 一 个 堆 块 内 的 另 一 个 i n t 型 变 量 被 覆 盖 了 。 块 间 堆 溢 出 块 间 堆 溢 出 这 里 申 请 了 两 个 堆 块 ， 一 个 字 符 型 堆 块 、 一 个 i n t 型 堆 块 ： 这 里 我 们 展 示 一 下 ， 溢 出 覆 盖 过 程 。 第 一 次 输 入 1 5 个 a ， i n t 型 堆 块 内 的 数 据 正 常 、 但 是 输 入 1 6 个 a 后 ， i n t 型 堆 块 就 被 覆 盖 了 。 为 什 么 会 这 样 呢 ？ 为 什 么 会 这 样 呢 ？ 首 先 i n t 型 堆 块 （ 4 字 节 ） 在 c h a r 型 堆 块 后 面 （ 8 字 节 ） ， 当 c h a r 型 堆 块 向 后 覆 盖 时 ， 需 要 先 覆 盖 i n t 型 堆 块 的 8 字 节 长 度 的 堆 头 ， 然 后 就 覆 盖 到 了 i n t 型 堆 块 的 用 户 数 据 区 ， 也 就 是 至 少 需 要 1 6 字 节 数 据 才 可 以 。 g e f >   x / 8 x   2 1 0 0 0 0 x 2 1 0 0 0 :         0 x 0 0 0 0 0 0 0 0         0 x 0 0 0 0 0 0 1 1         0 x 6 1 6 1 6 1 6 1         0 x 6 1 6 1 6 1 6 1 0 x 2 1 0 1 0 :         0 x 0 0 0 0 0 4 0 0         0 x 0 0 0 2 0 f f 1         0 x 0 0 0 0 0 0 0 0         0 x 0 0 0 0 0 0 0 0 # i n c l u d e   # i n c l u d e   i n t   m a i n ( ) {         c h a r   s t r i n g   =   m a l l o c ( 8 ) ;         i n t   n u m b e r   =   m a l l o c ( 4 ) ;         * n u m b e r   =   1 2 3 4 ; g e t s ( s t r i n g ) ; i f ( * n u m b e r   = =   1 2 3 4 ) {                 p u t s ( " M e m o r y   v a i l d ! " ) ; } e l s e {                 p u t s ( " M e m o r y   c o r r u p t e d ! " ) ; } r e t u r n   0 ; } p i @ r a s p b e r r y p i : ~ / D e s k t o p   $   . / a . o u t   a a a a a a a a a a a a a a a M e m o r y   v a i l d ! p i @ r a s p b e r r y p i : ~ / D e s k t o p   $   . / a . o u t   a a a a a a a a a a a a a a a a M e m o r y   c o r r u p t e d !
下 面 我 们 查 看 用 户 输 入 1 6 字 节 数 据 后 的 内 存 数 据 ： 1 . g d b   . / a . o u t 2 . d i s a s s e m b l e   m a i n 找 到 第 三 个 l d 就 是 g e t s 的 指 令 地 址 ， 然 后 下 断 点 ， 运 行 到 断 点 处 ， 执 行 后 输 入 7 字 节 和 1 6 字 节 ， 做 对 比 3 . v m m a p 查 找 整 个 内 存 空 间 映 射 4 . x / 8 x   2 1 0 0 0 : 查 看 申 请 堆 块 内 的 数 据 输 入 7 字 节 数 据 后 ， 第 一 行 是 c h a r 型 堆 块 的 堆 头 和 用 户 数 据 输 入 1 6 字 节 数 据 后 ， 明 显 i n t 型 堆 块 的 堆 头 被 覆 盖 后 ， g e t s 函 数 将 空 字 符 写 入 到 用 户 数 据 空 间 ， 覆 盖 了 1 2 3 4 的 低 8 位 ： 到 此 基 本 比 较 基 础 的 介 绍 了 A R M 汇 编 在 堆 栈 溢 出 的 运 用 。 参 考 文 章 参 考 文 章 a z e r i a - l a b s 官 方 的 A r m 汇 编 教 程 * 文 章 原 创 作 者 ： 文 章 原 创 作 者 ： x i o n g c h a o c h a o ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理