栈溢出

参考资料：

栈溢出原理 - CTF Wiki

PWN入门（1-2）-缓冲区溢出之栈溢出（strcpy） · Yuque

0x01 什么是栈溢出

栈溢出漏洞的历史

栈溢出漏洞最早可以追溯到1972年，当时研究人员发现程序如果不对输入长度进行限制，可能导致内存被覆盖。但真正让大众意识到其危害的，是1988年的莫里斯蠕虫。这个蠕虫利用Unix系统中一个服务的栈溢出漏洞，通过发送超长字符串覆盖了程序的返回地址，从而在目标机器上运行恶意代码。一夜之间，互联网上20%的计算机被感染，成为历史上首次大规模网络安全事件。

什么是栈溢出

栈溢出（Stack Overflow）是程序中最常见的安全漏洞之一，其核心原理就是程序向栈中某个变量写入的字节数超过了该变量所申请的字节数，导致与该变量相邻的栈内存储存的其他值被改变。这种问题属于一种缓冲区漏洞，与其相似的还有堆溢出，bss段溢出等等。栈溢出轻则导致程序崩溃，重则可以使攻击者控制程序的执行流程，是一种简单但是强大的漏洞。

同时，我们也不难发现，发生栈溢出的前提是：

程序必须向栈上写入数据
写入的数据大小没有得到良好的控制

0x02 基本示例

下面是一个简单的示例程序：

#include <stdio.h>
#include <string.h>

void vuln() {
  char buff[16];
  int flag = 0;

  puts("请输入数据：");
  gets(buff);

  if (flag) {
    printf("flag:%d\n", flag);
    puts("你不应该看到这些");
  } else {
    printf("flag:%d\n", flag);
    puts("你随便看");
  }
}

int main() {
  while (1) {
    vuln();
  }
  return 0;
}

在Linux上使用如下命令编译

1	gcc -std=c90 -m32 -fno-stack-protector -no-pie -z execstack -z norelro ez.c -o ez

这个程序也非常好理解，程序定义了两个变量：buff和flag，这二位在栈内的布局如下：

-0000001C buff[0]
-0000001B buff[1]
-0000001A buff[2]
-00000019 buff[3]
-00000018 buff[4]
-00000017 buff[5]
-00000016 buff[6]
-00000015 buff[7]
-00000014 buff[8]
-00000013 buff[9]
-00000012 buff[10]
-00000011 buff[11]
-00000010 buff[12]
-0000000F buff[13]
-0000000E buff[14]
-0000000D buff[15]
-0000000C flag
+00000000 saved_ebp
+00000004 return_address

一般来说，在栈帧内，需要占用大量空间的变量，比如数组，会放在靠近相对栈顶的地方，也就是较低地址。而占用空间比较小的变量，比如，int，char等等，会放在相对靠近栈底的地方，也就是叫高地址。但是，他们也和传入栈的参数一样，先定义变量会放在靠近栈底的地方。比如下面这个程序。
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
#include <stdio.h>

int main() {
int a = 1;
int b = 2;
int c = 3;
char arr_1[16];
char arr_2[16];
char arr_3[16];

gets(arr_1);
gets(arr_2);
gets(arr_3);
return 0;
}
其栈帧布局如下
1
2
3
4
5
6
7
8
9
10
11
12
13
-00000044 arr_3           db 16 dup(?)
-00000034 arr_2           db 16 dup(?)
-00000024 arr_1           db 16 dup(?)
-00000014 c               dd ?
-00000010 b               dd ?
-0000000C a               dd ?
-00000008 anonymous_0     dd ?
-00000004                 db ? ; undefined
-00000003                 db ? ; undefined
-00000002                 db ? ; undefined
-00000001                 db ? ; undefined
+00000000  s              db 4 dup(?)
+00000004  r              db 4 dup(?)