最近一個朋友學習資訊安全方面的知識，然后發來一題和我一起討論，雖然覺得簡單，但是實際還是有點意思的，就拿出來一起看看，題目如下：
從圖中可以看到一段C語言的代碼，還能看到3個問題，這里我把代碼提出來，代碼如下：
1 #include <stdio.h> 2 3 int main(int argc, char* argv[]) 4 { 5 int apple; 6 7 char buf[9]; 8 9 gets(buf); 10 11 if (apple == 0x64636261) 12 { 13 printf("hello world!"); 14 } 15 16 return 0; 17 }
我把問題也寫出來，問題有三個：
（1）分析是哪種溢位型別
（2）給出題目的變數 apple 的地址，例如 0x0012ff44，給出 buf 各字符的地址
（3）a、b、c、d 的 ASCII 碼值分別為0x61、0x62、0x63 和 0x64 ，給出 buf 輸入方式，使得程式可以輸出 hello world
什么是緩沖區
簡單說，緩沖區就是一塊存放資料的記憶體區域，根據存放資料的記憶體的分配方式，可以把記憶體分為堆疊記憶體和堆記憶體，
堆疊記憶體，用于存放區域變數、函式的引數等，對于函式呼叫時現場的保護，也會用到堆疊記憶體，比如保存函式的回傳地址，堆疊記憶體，由 CPU 的來維護，在 32 位作業系統下，由 CPU 的 EBP 和 ESP 兩個暫存器來維護，
堆記憶體，是程式員通過特定的函式來申請的，比如 malloc 和 new 等函式，堆記憶體申請后由程式員來釋放，而 堆疊記憶體 隨著函式的回傳 堆疊記憶體 也會被自動的回收，
什么是緩沖區溢位
通常就是記憶體的覆寫，由于緩沖區分為 堆疊 和 堆，因此緩沖區溢位分為 堆疊溢位 和 堆溢位，因為 C/C++ 很多函式早期都不檢查記憶體邊界，所有的記憶體邊界檢查都由程式員自己去完成，這樣就有可能因為疏忽造成緩沖區的溢位，而現在，大部分操作記憶體的函式，都在之前函式的基礎上增加了安全檢查，也就比以前安全了，
有些安全書籍認為，避免緩沖區溢位，不要使用堆疊記憶體，而是去使用堆記憶體，這樣的認識是錯誤的，因為堆記憶體的使用不當也會造成溢位，也是存在安全隱患的，
緩沖區溢位攻擊
緩沖區溢位攻擊的本質是資料當作代碼運行，在有存在緩沖區溢位攻擊的程式中，攻擊者將可執行的代碼當作資料植入記憶體，再通過特定的方式使植入的資料運行，從而達到攻擊的目的，
題目決議
有了上面的鋪墊，就來說說題目中的內容，
第一題，上面的代碼是哪種型別的溢位，在代碼中可以看出，陣列 buf[9] 是一塊緩沖區，而 buf 是一個區域變數，區域變數是在堆疊中保存，代碼中的 gets() 函式是接收用戶輸入的函式，但是它不對記憶體邊界進行檢查，buf[9] 的長度為 9 個位元組，但是當使用 gets() 函式獲取用戶輸入時，當超過 9 個位元組時，也會全部接收，這樣就造成了緩沖區溢位，更具體的說，就是堆疊溢位，這點是 C/C++ 語言的特點，陣列越界是被允許的，因為在很多程式設計中，為了存盤不定長資料，就會使用陣列越界的方式，
第二題，假如 apple 的記憶體地址是 0x0012ff44，那么給出 buf 中各個字符的地址，變數相當于給某個記憶體首地址起了一個名字，變數的型別限制了該變數的記憶體長度，比如 0x0012ff44 這個是一個記憶體的地址，給這個記憶體的地址起一個名字叫 apple，另外 變數 apple 的型別是 int，那么限制該變數的長度占用 4 個位元組，
第二題的題目，是給出我們 apple 的地址，然后讓寫出 buf 變數的地址，這里就又需要了解兩個知識，首先，區域變數是在堆疊地址中這個是已知的，而堆疊地址的增長方向是由高到低的，第二，在 C 語言中，函式內部定義的區域變數，會按照變數定義的先后順序來分配堆疊中的記憶體地址，那么，在代碼中，先定義的 apple ，后定義的 buf 變數，那么，apple 的地址就比 buf 的地址要高（大、上），如圖，
知道上面兩點以后，那么 buf 的地址到底是多少呢？還是先來說說 apple 實際占用的地址，apple 變數的地址是 0x0012ff44，這個地址其實是 apple 變數的首地址，因為 0x0012ff44 只代表一個位元組的記憶體空間，而 apple 是 int 型別的變數，占用 4 個位元組，那么 apple 實際占用的是 0x0012ff44、0x0012ff45、0x0012ff46 和 0x0012ff47 四個記憶體空間，也就是 4 個位元組，而 apple 就是首地址就是 0x0012ff44，
再說 buf 變數，buf 的定義為 char buf[9]，則說明 buf 占 9 個位元組，而 buf 在 apple 之后定義的，那么 buf 在堆疊記憶體中的地址一定是小于 apple 的地址的，那是不是只要用 apple 的地址減去 9 就是 buf 的地址呢？其實還不是，雖然 buf 占 9 個位元組，但是在 32 位的 CPU 中，記憶體中的資料一般是按照 4 個位元組對齊的（32 位剛好 4 個位元組），那么，也就是通過 0x0012ff44 - 0xC 就是 buf 的首地址，記憶體結構如下圖，
在上圖中，標注為紅色的部分，就是 buf 變數的記憶體，標注為綠色的部分，則是 apple 變數的記憶體，其中的白色記憶體，就是被用來對齊的記憶體，這樣是不是浪費了記憶體，是的！在 32 位系統下，記憶體按 4 位元組對齊，CPU 訪問速度是最快的，因此，浪費 3 個位元組去進行記憶體對齊，從而換取 CPU 讀取的速度更快，是劃得來的，在計算機演算法中，經常提到兩句話，“用空間換時間”和“用時間換空間”，這顯然是“用空間換時間”的情況，從上面的圖可以看出，buf 的起始地址是 0x0012ff38，
第三題，是要讓程式輸出“hello world”這個字串，但是從代碼中來看，只有在 apple 等于 0x64636261 的時候，才會輸出"hello world"字串，而整個代碼中就沒有對 apple 進行賦值的代碼，而且 0x64636261 又是什么？在第三題的題目中給出提示，0x61 代表小寫字母 a 的 ASCII 碼，0x62 代表小寫字母 b 的 ASCII 碼，那么，也就是說讓 apple 中填充為字母 abcd 即可，看下圖，
只要我們在給 buf 通過 gets 賦值時，輸入的內容超過 9 個字符，去覆寫其后面的記憶體即可，那么要輸入多少個字符呢？buf 的長度是 9 個位元組，對齊的位元組是 3 個位元組，apple 的長度是 4，那么一共輸入 16 個字符即可，前 12 個隨便輸入，最后 4 個輸入 abcd 即可，
等等，代碼中 apple == 0x64636261，看起來 apple 比較的是 dcba，但是為什么輸入的是 abcd 呢？這個是位元組順序的問題，這里不展開討論，只要了解了位元組序的問題，就可以理解了，而位元組序在開發網路程式和進行逆向分析時，也算是基礎的基礎，
演示
這個程式，我使用 XP + VC6 來進行演示，為什么使用 VC6，因為在新版的 VS 中，已經沒有 gets 函式了，因為它不安全，所以被丟棄了，
把上面的代碼錄入 VC6 中，然后使用 DEBUG 進行編譯（Release編譯的話，生成的二進制會被優化，記憶體結構不明顯，溢位的方式也不同，由于是試題，用最簡單的方式表明問題即可），
編譯后，在 gets() 的位置設定斷點，然后打開“watch”視窗，來看一下 apple 和 buf 的記憶體地址，如下圖，
可以看出，apple 的地址是 0x0012ff7c，buf 的記憶體地址是 0x0012ff70，是不是有疑惑？跟題目中的地址不同！別急！相同的程式在不同的作業系統（比如，XP 和 Win7）上變數的記憶體地址是不同的，甚至在補丁不同的系統（XP SP2 和 XP SP3）上也可能是不同的，但是，我們注意兩點，第一，apple 的地址比 buf 的地址大，第二，apple 的地址和 buf 的地址差 0xC，只要憑這兩點來看，和我們前面分析的是相同的，
接著打開“memory”視窗，來看記憶體，如下圖，
接著，在 if 的位置處下斷點，然后讓程式運行起來，我們就可以進行輸入了，如下圖，
我這里輸入了 12 個 1，因為前 12 個字符隨便輸入，然后輸入了 abcd，輸入完成后按下回車，我們在 if 位置處設定的斷點被斷住了，此時觀察記憶體，如下圖，
從上圖可以看到，在 0x0012ff7c 的位置處，也就是 apple 所在的堆疊空間中，被填充了0x61、0x62、0x63 和 0x64，雖然程式中沒有任何位置給 apple 變數賦值，但是我們通過溢位的方式覆寫了 apple 的記憶體地址，成功的對它進行了賦值，讓程式運行起來，觀察程式的運行，如下圖，
可以看到，字串“hello world”被輸出了，
總結
上面把整個題目分析了一下，沒有難度，只是一些基礎知識，這種題目有什么實際的意義呢？就拿這個題目的代碼來舉個例子，如果 gets 接收的是一串密碼，只有在密碼正確的情況下，才會執行特定的功能，而密碼的對與否可能有一個標志位，那么及時不知道正確的密碼，只要通過溢位去覆寫標志位是不是就可以執行特定的功能了？當然這只是一個簡單的例子，對于緩沖區溢位、SQL 注入、XSS 等攻擊，它們的問題都是檢查不嚴格而導致 外部輸入的資料被當作代碼 執行了，從而產生安全的問題，因此，它們的本質是相同的，因此，對于程式員而言，就是不能相信任何的外部輸入，一定要對外部輸入做嚴格的檢查，
轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/207123.html
標籤：其他
下一篇：天璣800u和天璣800哪個好