Как я могу вызвать переполнение буфера?

Question

У меня есть задание на домашнее задание с просьбой вызвать функцию без явного вызова ее, используя переполнение буфера. Код в основном такой:

#include <stdio.h> 
#include <stdlib.h> 

void g() 
{ 
    printf("now inside g()!\n"); 
} 


void f() 
{ 
    printf("now inside f()!\n"); 
    // can only modify this section 
    // cant call g(), maybe use g (pointer to function) 
} 

int main (int argc, char *argv[]) 
{ 
    f(); 
    return 0; 
} 

Хотя я не уверен, как действовать дальше. Я подумал об изменении адреса возврата для счетчика программ, чтобы он перешел непосредственно к адресу g(), но я не уверен, как получить к нему доступ. Во всяком случае, подсказки будут замечательными.

Answer 1

Основная идея заключается в том, чтобы изменить обратный адрес функции, так что, когда функция возвращает это продолжает выполняться на новом взломанный адрес. Как это сделал Нилс в одном из ответов, вы можете объявить кусок памяти (обычно массив) и переполнить его таким образом, чтобы и обратный адрес был перезаписан.

Я предлагаю вам не слепо принимать любые из приведенных здесь программ, не понимая, как они работают. Эта статья очень хорошо написана, и вы найдете его очень полезным:

A step-by-step on the buffer overflow vulnerablity

Answer 2

Попробуйте это:

void f() 
{ 
    void *x[1]; 
    printf("now inside f()!\n"); 
    // can only modify this section 
    // cant call g(), maybe use g (pointer to function) 
    x[-1]=&g; 
} 

или это один:

void f() 
{ 
    void *x[1]; 
    printf("now inside f()!\n"); 
    // can only modify this section 
    // cant call g(), maybe use g (pointer to function) 
    x[1]=&g; 
} 

Answer 3

Это зависит компилятор, так что ни один ответ не может быть дан.

Следующий код сделает то, что вы хотите для gcc 4.4.1. Компиляция с оптимизаций отключены

#include <stdio.h> 
#include <stdlib.h> 

void g() 
{ 
    printf("now inside g()!\n"); 
} 


void f() 
{ 
    int i; 
    void * buffer[1]; 
    printf("now inside f()!\n"); 

    // can only modify this section 
    // cant call g(), maybe use g (pointer to function) 

    // place the address of g all over the stack: 
    for (i=0; i<10; i++) 
    buffer[i] = (void*) g; 

    // and goodbye.. 
} 

int main (int argc, char *argv[]) 
{ 
    f(); 
    return 0; 
} 

Output (важно!):

nils@doofnase:~$ gcc overflow.c 
nils@doofnase:~$ ./a.out 
now inside f()! 
now inside g()! 
now inside g()! 
now inside g()! 
now inside g()! 
now inside g()! 
now inside g()! 
Segmentation fault 

Answer 4

Поскольку это домашнее задание, я хотел бы повторить codeaddict's suggestion понять, как на самом деле работает переполнение буфера.

Я изучил технику, прочитав отличную (если немного устаревшую) статью/учебник об использовании уязвимостей переполнения буфера Smashing The Stack For Fun And Profit.

Answer 5

Хотя это решение не использует технику переполнения перезаписать обратный адрес функции в стеке, он по-прежнему вызывает g() получить колл от f() на обратном пути к main() лишь модификации f() и не вызывая g() непосредственно.

Function epilogue -как рядный узел добавляется в f(), чтобы изменить значение адреса возврата в стеке, так что f() вернется через g().

#include <stdio.h> 

void g() 
{ 
    printf("now inside g()!\n"); 
} 

void f() 
{ 
    printf("now inside f()!\n"); 
    // can only modify this section 
    // cant call g(), maybe use g (pointer to function) 

    /* x86 function epilogue-like inline assembly */ 
    /* Causes f() to return to g() on its way back to main() */ 
    asm(
     "mov %%ebp,%%esp;" 
     "pop %%ebp;" 
     "push %0;" 
     "ret" 
     : /* no output registers */ 
     : "r" (&g) 
     : "%ebp", "%esp" 
     ); 
} 

int main (int argc, char *argv[]) 
{ 
    f(); 
    return 0; 
}

Понимание того, как этот код работает, может привести к лучшему пониманию того, как кадр стеки функции, является установкой для конкретной архитектуры, которая лежит в основе методов переполнения буфера.