计算机病毒和入侵检测大作业
缓冲区溢出攻击与防范Buffer overflow attacking and prevention
学院（系）：软件学院
专业：软件工程
学生姓名：刘毅超
学号：201192057
班级：软件1116
完成日期：2013年12月30日
大连理工大学
Dalian University of Technology
目录
1 引言 (3)
2 基本原理分析 (3)
3 制造缓冲区溢出 (4)
3.1 格式化字符串： (4)
3.2 堆栈缓冲区（Buffer）溢出攻击： (6)
3.3 HEAP/BSS溢出攻击： (8)
4 预防缓冲区溢出攻击 (10)
4.1 强制写正确的代码 (10)
4.2 使缓冲区不可执行 (10)
4.3 利用编译器的边界检查来实现缓冲区的保护 (10)
4.4 在程序指针失效前进行完整性检查 (11)
4.5 可不可以从根本上解决缓冲区溢出攻击 (11)
5 总结 (11)
6 参考资料 (12)
1 引言
缓冲区溢出是指当计算机向缓冲区内填充数据位数时超过了缓冲区本身的容量，使得溢出的数据覆盖在合法数据上。在当前网络与分布式系统安全中，被广泛利用的50%以上都是缓冲区溢出，而缓冲区溢出中，最为危险的是堆栈溢出。（操作系统所使用的缓冲区又被称为"堆栈".。在各个操作进程之间，指令会被临时储存在"堆栈"当中，"堆栈"也会出现缓冲区溢出。）本文详细分析了缓冲区溢出的原理，描述了利用缓冲区溢出漏洞进行系统攻击的一般过程，最后简单讨论了几种缓冲区溢出的保护方法。
2 基本原理分析
缓冲区是内存中存放数据的地方。在程序试图将数据放到机器内存中的某一个位置的时候，因为没有足够的空间就会发生缓冲区溢出。而人为的溢出则是有一定企图的，攻击者写一个超过缓冲区长度的字符串，植入到缓冲区，然后再向一个有限空间的缓冲区中植入超长的字符串，这时可能会出现两个结果：一是过长的字符串覆盖了相邻的存储单元，引起程序运行失败，严重的可导致系统崩溃；另一个结果就是利用这种漏洞可以执行任意指令，甚至可以取得系统root特级权限。
缓冲区是程序运行的时候机器内存中的一个连续块，它保存了给定类型的数据，随着动态分配变量会出现问题。大多时为了不占用太多的内存，一个有动态分配变量的程序在程序运行时才决定给它们分配多少内存。如果程序在动态分配缓冲区放入超长的数据，它就会溢出了。一个缓冲区溢出程序使用这个溢出的数据将汇编语言代码放到机器的内存里，通常是产生root权限的地方。仅仅单个的缓冲区溢出并不是问题的根本所在。但如果溢出送到能够以root权限运行命令的区域，一旦运行这些命令，那可就等于把机器拱手相让了。
现在存在的主要的缓冲区溢出攻击有格式化串缓冲区溢出攻击，堆栈缓冲区（Buffer）溢出攻击和HEAP/BSS的缓冲区溢出。
3 制造缓冲区溢出
3.1 格式化字符串：
这种安全漏洞源自于printf(),sprintf等函数的参数格式，以最简单的printf()为例：
int printf(const char *format, arg1,arg2,...);
这种函数由于不知道参数的个数，因此并不能确定参数什么时候结束。它便只会根据format中的转义字符依次打印堆栈中参数地址对应的内容。
在format串中，主要利用%n来实现攻击。
(%n在格式化中的意思是将显示内容的长度输出到一个变量中去。)
参考如下代码:
#include
int main() {
printf("软1116 刘毅超 201192057\n");
int num=0x61616161;
printf("Before: num = %#x \n", num);
printf("%.20d%n\n", num, &num);
printf("After: num = %#x \n", num);
return 0;
}
这一步我做了N次，全部是程序终止~~先用的Codeblocks,发现num根本没有出现变化，之后用VS，程序直接崩溃。。。于是装了Linux的虚拟机。。。同样支持C99，竟然%n在linux下才能用。。。
在我们的期待中看到了如下现象:
其输出结果为：
Before: num = 0x61616161
00000000001633771873
After: num = 0x14
第二个printf中，分析压栈过程:
address of "%.20d%n\n"
num -------(arg1)
address of num -------(arg2)
是右边参数更早压栈的，因此num值可以被修改。
代码改为如下：
#include
main()
{
int num=0x61616161;
printf("Before: num = %#x \n", num);
printf("%.20d%n\n" ,num);
/* 注意，我们没有压num的地址入栈 */
printf("After: num = %#x \n", num);
}
这样，我看到查的课件上解释说会出现段错误，因为在第二个printf函数上由于是从右到左匹配，所以与%n相匹配的便是num存的数的作为地址。而由于在num中存放的数太大，超过了访问位置，这个位置是访问不到的，所以出现了段错误。
但是，我做这个过程时，并没有如愿出现段错误，只有编译时有个参数不匹配的警告。。。
运行正常：
这个问题，我思考了很久，突然发现新装的Linux系统是64位的，瞬间豁然开朗，那样巨大的内存地址是完全访问的了的！！！
但是，这个代码还是给了我们很大的启示。如果我们可以控制num的内容，我们就可以向任意内存地址写入数据（当然必须是可以访问的内存空间），一旦我们得知程序返回地址存放在哪里，我们便可以覆盖这个位置，从而使程序调到我们想要的任意地址。
这就是格式化字符串缓冲区溢出攻击。
3.2 堆栈缓冲区（Buffer）溢出攻击：
缓冲区是程序运行的时候机器内存中的一个连续块，它保存了给定类型的
数据，大多数情况下为了不占用太多的内存，一个有动态分配变量的程序在程
序运行时才决定给它们分配多少内存。如果程序在动态分配缓冲区放入超长的
数据，它就会溢出了。这就是堆栈缓冲区溢出。通常，缓冲区溢出只会产生过
段错误。如下面的程序。
#include
void func1(char * input){
char buffer[16];
strcpy(buffer, input);
}
void main(){
char longstring[256];
int i;
for( i = 0; i < 255; i++)
longstring [i] = 'B';
func1(longstring);
}
这段程序是无法运行的，是段错误，但是当我将新开数组的长度减小时，比
如减小到20，发现在Linux下能运行了（在VS下编译后运行，仍然报错，我认为Windows的安全性并不比Linux低，只是Linux用的人少，开发病毒所带来的收益低而已，所以看似更安全）。
我们知道在程序运行时，内存分配是由高到低的，如下图：
这样的话，当在Buffer部位存的数据长度超过Buffer的长度时，数据就会依次覆盖SFP，RET以及后面的高位内存地址。（在VS2013中编译的程序超过长度的部分编译后的程序已经已经不能运行了，在GCC下这是可行的）。
在此例程中，因为’B’是0x41，所以每一个位置都变成了0x41414141，当然，函数的返回位置也变成了0x41414141，而程序返回不了这一个位置，所以出现段错误。
当我把赋值的’B’变成0的时候，这是程序不再出现段错误了，而是正常执行。也就是说只要我的函数返回的位置是一个可以寻到的位置，那么程序就会被执行而且不报任何错误。
因此，一个缓冲区溢出程序使用这个溢出的数据将精心设计的汇编语言代码放到机器的内存里，通常是产生root权限的地方。最常见的手段是通过制造缓冲区溢出使程序运行一个用户shell，再通过shell执行其他命令。如果该程序属于root且有suid权限的话，攻击者就获得了一个有root权限的shell，便可以对系统进行任意操作了。
只要程序有缓冲区溢出漏洞，程序的属主是root且有suid位，我们恶意利用并控制这台机器。当年mount程序的缓冲区溢出漏洞。我们可以不断用
__asm__("movl %esp,%eax") 来定位堆栈的位置，然后程序首先分配一块暂存区,在暂存区的前面部分填满NOP，后面部分放shell代码。最后希望程序返回的地址可以由栈地址加偏移得到。当以暂存区的内容为参数调用mount时，将
造成mount程序的堆栈溢出，其缓冲区被暂存区字符串内容覆盖，而返回地址将指向NOP指令。
当然，这个方法我在Ubuntu 13.10 上已经不好用了，将代码在同学装
的”Ubuntu 6.06 整洁的公鸭”上运行据说可以使用。
3.3 HEAP/BSS溢出攻击：
HEAP：
一般来说，在操作系统中，大部分的内存区实际上是在内核一级被动态分配的。但是，我们熟知的Heap段则一般由应用程序动态分配，它在编译的时候才被初始化，并且可能里面使用前是乱码。而BSS段包含未被初始化的数据，在写入数据前，它应该是全0.
C 里面的malloc 和C++里面的new 就是在堆空间分配的。
并且堆空间上先分配低地址段再分配高地址段。
执行如下代码：
#include
#include
#include
#include
#define BUFFER_SIZE 16
#define OVERLAYSIZE 8
/* 我们将覆盖buf2的前OVERLAYSIZE个字节 */
int main() {
u_long diff;
char *buf1 = (char *)malloc(BUFFER_SIZE), *buf2 = (char
*)malloc(BUFFER_SIZE);
diff = (u_long)buf2 - (u_long)buf1;
printf("buf1 = %p, buf2 = %p, diff = 0x%x (%d)bytes\n", buf1,
buf2, diff, diff);
memset(buf2, 'a', BUFFER_SIZE-1), buf2[BUFFER_SIZE-1] = '\0';
/* 将buf2用'a'填充 */
printf("before overflow: buf2 = %s\n", buf2);
memset(buf1,'b',(u_int)(diff+OVERLAYSIZE)) ;
/* 用diff+OVERLAYSIZE个'b'填充buf1 */
printf("after overflow: buf2 = %s\n", buf2);
return 0;
}
执行结果如下：
我们发现buf2的前半部分已经被覆盖了。程序正常结束。
原来buff1已经装不下diff+OVERLAYSIZE个字符了，字符溢出到buff2中了。
但是为什么diff=0x20呢，我们定义的OVERLAYSIZE长度为16，原来两个开辟的空间之间是有间距的，在我的系统中这个间距是0x10，即16个字节，我百度了这个间距的大小，原来这个堆空间间距是在不同系统中有差异的，我试了试同样是Ubuntu13.10的32位系统，它的间距为8个字节。
BSS：
同样的代码改成
定义部分改为：static char buf1[BUFFER_SIZE], buf2[BUFFER_SIZE];
我们发现diff= -16,这恰好印证了static分配的是栈空间，是自高向低分配的，并且是连续分配的，不留空隙。因此栈空间比堆空间更节省内存，以后我们写程序时，尽量不要多次在堆上面开辟很小的空间，浪费内存，得不偿失。
最后发生了段错误，是因为buff1本来就在更高的空间，还继续往更高的位置写入内容。把函数返回位置写成了0x42424242.造成错误。
其实，C语言中，经常使用malloc()动态分配一段内存，并向用户返回一个内存地址，而实际上这个地址前面通常有一个数据结构，用来记录分配的块长度以及一些其它标志。如果这些结构的内容被覆盖，可能导致攻击者将任意数据写到一个任意内存地址中去，从而可能将程序引入存放恶意代码的内存中。
而释放内存时，则是在链表中删除当前节点的标记，然后检查相邻两个空
间是否已空闲，是的话，删除节点合并空间。
4 预防缓冲区溢出攻击
目前有如下方法能够有效避免缓冲区溢出攻击：
4.1 强制写正确的代码
编写正确的代码是一件非常有意义但耗时的工作，特别像编写C语言那种具有容易出错倾向的程序（如：字符串的零结尾），这种风格是由于追求性能而忽视正确性的传统引起的。尽管花了很长的时间使得人们知道了如何编写安全的程序，具有安全漏洞的程序依旧出现。因此人们开发了一些工具和技术来帮助经验不足的程序员编写安全正确的程序。虽然这些工具帮助程序员开发更安全的程序，但是由于C语言的特点，这些工具不可能找出所有的缓冲区溢出漏洞。所以，侦错技术只能用来减少缓冲区溢出的可能，并不能完全地消除它的存在。除非程序员能保证他的程序万无一失，否则还是要用到以下部分的内容来保证程序的可靠性能。
4.2 使缓冲区不可执行
这种方法有效地阻止了很多缓冲区溢出的攻击，但是攻击者并不一定要殖入攻击代码来实现缓冲区溢出的攻击，所以这种方法还是存在很多弱点的。
4.3 利用编译器的边界检查来实现缓冲区的保护
这个方法使得缓冲区溢出不可能出现，从而完全消除了缓冲区溢出的威胁，但是相对而言代价比较大。
4.4 在程序指针失效前进行完整性检查
这样虽然这种方法不能使得所有的缓冲区溢出失效，但它的确确阻止了绝大多数的缓冲区溢出攻击，而能够逃脱这种方法保护的缓冲区溢出也很难实现。
4.5 可不可以从根本上解决缓冲区溢出攻击
从根本上讲，预防缓冲区溢出攻击的方式只有一个，那就是编写健壮的程序代码。存在缓冲区溢出攻击的原因就一个，那就是程序存在缓冲区溢出漏洞。
比如对于格式化字符串攻击，我们要尽量避免使用printf中%n功能。其实在对IO时间效率要求不是太高的时候避免使用gets，printf，scanf等函数，而是用较为安全的cout，cin等对象操作会更安全。
对于缓冲区溢出攻击，我们可以设置缓冲区不可执行，在写程序时应尽量使用带边界检查的编译器，在程序指针失效前进行完整性检查，避免遗留下可乘之机。当然最最重要的还是程序员要强制用正确的编程方法来写代码。缓冲区溢出攻击是最广泛的攻击，同样缓冲区溢出攻击基本都是由于程序遗留的漏洞造成的，基本都是细节上的大意造成的。
5 总结
缓冲区溢出攻击之所以成为一种常见的攻击手段，其原因在于缓冲区溢出漏洞太普通了，并且易于实现。而且，缓冲区溢出所以成为远程攻击的主要手段，其原因在于缓冲区溢出漏洞给予了攻击者所想要的一切：植入并且执行攻击代码。被植入的攻击代码以一定的权限运行有缓冲区溢出漏洞的程序，从而得到被攻击主机的控制权。
本文较为详细的从原理上总结了什么是缓冲区溢出攻击，所有内容都经过亲自实验，防止缓冲区溢出攻击的唯一途径就是编写合乎安全的代码，只有程
序员能够从原理上理解这些溢出攻击的原理，才能从源头上不给黑客留下可乘之机。
本人非网络专业，但一直在努力学习本门课程，经过半个学期的学习，对计算机病毒有了一些了解，但还是水平有限，理解可能有不够深入的地方，请老师，助教批评指正。
6 参考资料
[1]百度百科----------缓冲区溢出
[2]《增强 Linux 核心抵御缓冲区溢出攻击》--------科技咨询导报,2007
[3]《两种新的缓冲区溢出攻击原理及防范》-------北京理工计算机科学工程系
HUNAN UNIVERSITY 课程实验报告 题目： Buflab-handout 学生姓名 学生学号 专业班级计科1403 (一)实验环境 联想ThinkPadE540 VM虚拟机ubuntu32位操作系统 (二)实验准备 1.使用tar xvf命令解压文件后，会有3个可执行的二进制文件bufbomb，hex2raw， makecookie。bufbomb运行时会进入getbuf函数，其中通过调用Gets函数读取字符 串。要求在已知缓冲区大小的情况下对输入的字符串进行定制完成特定溢出操作。 从给的PDF文件中我们得知getbuf函数为：
/ /Buffer size for getbuf #define NORMAL_BUFFER_SIZE 32 int getbuf() { char buf[NORMAL_BUFFER_SIZE]; Gets(buf); return 1; } 这个函数的漏洞在于宏定义的缓冲区的大小为32，若输入的字符串长于31（字符串末尾结束符）则会导致数据的覆盖，从而导致一系列损失；在此实验中，我们正是利用这个漏洞来完成实验。 2. hex2raw可执行文件就是将给定的16进制的数转成二进制字节数据。 Makecookie是产生一个userid。输入的相应的用户名产生相应的cookie值。 **我产生的cookie值为0x5eb52e1c，如下图所示： Level0: 实验要求：从英文的PDF文件中的“Your task is to get BUFBOMB to execute the code for smoke when getbuf executes its return statement, rather than returning to test. Note that your exploit string may also corrupt parts of the stack not directlyrelated to this stage, but this will not cause a problem, since smoke causes the program to exit directly.”这句话看出实验让我们在test运行完后，不直接退出，而是跳到smoke函数处执行然后退出，这点很重要！（本人之前一直没有成功就是错在这儿） Test源码： void test() { int val; // Put canary on stack to detect possible corruption volatile int local = uniqueval(); val = getbuf(); // Check for corrupted stack if (local != uniqueval()) { printf("Sabotaged!: the stack has been corrupted\n"); } else if (val == cookie) { printf("Boom!: getbuf returned 0x%x\n", val); validate(3);
缓冲区溢出攻击实验报告 班级：10网工三班学生姓名：谢昊天学号：46 实验目的和要求： 1、掌握缓冲区溢出的原理； 2、了解缓冲区溢出常见的攻击方法和攻击工具； 实验内容与分析设计： 1、利用RPC漏洞建立超级用户利用工具文件检测RPC漏洞，利用工具软件对进行攻击。攻击的结果将在对方计算机上建立一个具有管理员权限的用户，并终止了对方的RPC服务。 2、利用IIS溢出进行攻击利用软件Snake IIS溢出工具可以让对方的IIS溢出，还可以捆绑执行的命令和在对方计算机上开辟端口。 3、利用WebDav远程溢出使用工具软件和远程溢出。 实验步骤与调试过程： 1．RPC漏洞出。首先调用RPC（Remote Procedure Call)。当系统启动的时候，自动加载RPC服务。可以在服务列表中看到系统的RPC服务。利用RPC漏洞建立超级用户。首先，把文件拷贝到C盘跟目录下，检查地址段到。点击开始>运行>在运行中输入cmd>确定。进入DOs模式、在C盘根目录下输入 -,回车。检查漏洞。 2．检查缓冲区溢出漏洞。利用工具软件对进行攻击。在进入DOC模式、在C盘根目录下输入 ,回车。 3,利用软件Snake IIS溢出工具可以让对方的IIS溢出。进入IIS溢出工具软件的主界面. PORT:80 监听端口为813 单击IDQ溢出。出现攻击成功地提示对话框。 4．利用工具软件连接到该端口。进入DOs模式，在C盘根目录下输入 -vv 813 回车。5．监听本地端口（1）先利用命令监听本地的813端口。进入DOs模式，在C盘根目录下输入nc -l -p 813回车。（2）这个窗口就这样一直保留，启动工具软件snake，本地的IP 地址是，要攻击的计算机的IP地址是，选择溢出选项中的第一项，设置IP为本地IP地址，端口是813.点击按钮“IDQ溢出”。（3）查看nc命令的DOS框，在该界面下，已经执行了设置的DOS命令。将对方计算机的C盘根目录列出来，进入DOC模式，在C盘根目录下输入nc -l -p 813回车。 6．利用WebDav远程溢出使用工具软件和远程溢出。（1）在DOS命令行下执行，进入DOC 模式，在C盘根目录下输入回车。（2）程序入侵对方的计算机进入DOC模式，在C盘根目录下输入nc -vv 7788 回车。 实验结果： 1．成功加载RPC服务。可以在服务列表中看到系统的RPC服务，见结果图。 2．成功利用工具软件对进行攻击。 3．成功利用IIS溢出进行攻击利用软件Snake IIS溢出工具让对方的IIS溢出，从而捆绑
华中科技大学计算机学院《信息系统应用安全》实验报告 实验名称缓冲区溢出实验 团队成员： 教师评语：
一.实验环境 ?操作系统：Windows XP SP3 ?编译平台：Visual C++ 6.0 ?调试环境：OllyDbg 二.实验目的 1.掌握缓冲区溢出的原理； 2.掌握缓冲区溢出漏洞的利用技巧； 3.理解缓冲区溢出漏洞的防范措施。 三.实验内容及步骤 1.缓冲区溢出漏洞产生的的基本原理和攻击方法 ?缓冲区溢出模拟程序 程序源代码如下： 运行该程序产生访问异常：
由于拷贝字符串时产生缓冲区溢出，用“ABCD”字符串的值覆盖了原来EIP的值，所以main函数返回时EIP指向44434241，引发访问异常。 运行命令窗口的shellcode shellcode测试代码如下： #include "string.h" #include "stdio.h" #include
计算机病毒和入侵检测大作业 缓冲区溢出攻击与防范Buffer overflow attacking and prevention 学院（系）：软件学院 专业：软件工程 学生姓名：刘毅超 学号：201192057 班级：软件1116 完成日期：2013年12月30日 大连理工大学 Dalian University of Technology
目录 1 引言 (3) 2 基本原理分析 (3) 3 制造缓冲区溢出 (4) 3.1 格式化字符串： (4) 3.2 堆栈缓冲区（Buffer）溢出攻击： (6) 3.3 HEAP/BSS溢出攻击： (8) 4 预防缓冲区溢出攻击 (10) 4.1 强制写正确的代码 (10) 4.2 使缓冲区不可执行 (10) 4.3 利用编译器的边界检查来实现缓冲区的保护 (10) 4.4 在程序指针失效前进行完整性检查 (11) 4.5 可不可以从根本上解决缓冲区溢出攻击 (11) 5 总结 (11) 6 参考资料 (12)
1 引言 缓冲区溢出是指当计算机向缓冲区内填充数据位数时超过了缓冲区本身的容量，使得溢出的数据覆盖在合法数据上。在当前网络与分布式系统安全中，被广泛利用的50%以上都是缓冲区溢出，而缓冲区溢出中，最为危险的是堆栈溢出。（操作系统所使用的缓冲区又被称为"堆栈".。在各个操作进程之间，指令会被临时储存在"堆栈"当中，"堆栈"也会出现缓冲区溢出。）本文详细分析了缓冲区溢出的原理，描述了利用缓冲区溢出漏洞进行系统攻击的一般过程，最后简单讨论了几种缓冲区溢出的保护方法。 2 基本原理分析 缓冲区是内存中存放数据的地方。在程序试图将数据放到机器内存中的某一个位置的时候，因为没有足够的空间就会发生缓冲区溢出。而人为的溢出则是有一定企图的，攻击者写一个超过缓冲区长度的字符串，植入到缓冲区，然后再向一个有限空间的缓冲区中植入超长的字符串，这时可能会出现两个结果：一是过长的字符串覆盖了相邻的存储单元，引起程序运行失败，严重的可导致系统崩溃；另一个结果就是利用这种漏洞可以执行任意指令，甚至可以取得系统root特级权限。 缓冲区是程序运行的时候机器内存中的一个连续块，它保存了给定类型的数据，随着动态分配变量会出现问题。大多时为了不占用太多的内存，一个有动态分配变量的程序在程序运行时才决定给它们分配多少内存。如果程序在动态分配缓冲区放入超长的数据，它就会溢出了。一个缓冲区溢出程序使用这个溢出的数据将汇编语言代码放到机器的内存里，通常是产生root权限的地方。仅仅单个的缓冲区溢出并不是问题的根本所在。但如果溢出送到能够以root权限运行命令的区域，一旦运行这些命令，那可就等于把机器拱手相让了。 现在存在的主要的缓冲区溢出攻击有格式化串缓冲区溢出攻击，堆栈缓冲区（Buffer）溢出攻击和HEAP/BSS的缓冲区溢出。
缓冲区溢出攻击的原理与防范 陈硕 2004-7-12 读者基础：熟悉C语言及其内存模型，了解x86汇编语言。 缓冲区溢出（buffer overflow）是安全的头号公敌，据报道，有50%以上的安全漏洞和缓冲区溢出有关。C/C++语言对数组下标访问越界不做检查，是引起缓冲区溢出问题的根本原因。本文以Linux on IA32（32-bit Intel Architecture，即常说的x86）为平台，介绍缓冲区溢出的原理与防范措施。 按照被攻击的缓冲区所处的位置，缓冲区溢出（buffer overflow）大致可分为两类：堆溢出1（heap overflow）和栈溢出2（stack overflow）。栈溢出较为简单，我先以一些实例介绍栈溢出，然后谈一谈堆溢出的一般原理。 栈溢出原理 我们知道，栈（stack）是一种基本的数据结构，具有后入先出（LIFO, Last-In-First-Out）的性质。在x86平台上，调用函数时实际参数（arguments）、返回地址（return address）、局部变量（local variables）都位于栈上，栈是自高向低增长（先入栈的地址较高），栈指针（stack pointer）寄存器ESP始终指向栈顶元素。以图表1中的简单程序为例，我们先将它编译为可执行文件，然后在gdb中反汇编并跟踪其运行： $ gcc stack.c –o stack -ggdb -mperferred-stack-boundary=2 在IA32上，gcc默认按8个字节对齐，为了突出主题，我们令它按4字节对齐，最末一个参数的用处在此。图表1在每条语句之后列出对应的汇编指令，注意这是AT&T格式汇编，mov %esp, %ebp 是将寄存器ESP的值赋给寄存器EBP（这与常用的Intel汇编格式正好相反）。 // stack.c #01 int add(int a, int b) #02 { // push %ebp // mov %esp,%ebp #03 int sum; // sub $0x4,%esp #04 sum = a + b; // mov 0xc(%ebp),%eax // add 0x8(%ebp),%eax // mov %eax,0xfffffffc(%ebp) #05 return sum; // mov 0xfffffffc(%ebp),%eax 1本文把静态存储区溢出也算作一种堆溢出。 2 Stack 通常翻译为“堆栈”，为避免与文中出现的“堆/heap”混淆，这里简称为“栈”。
实验六报告
如图2所示的Windows 2000系统（虚拟机环境下）的计算机。显然这2台计算机处于同一个网段中，可以相互通讯，win10系统用作攻击机，下面将在此系统上运行Metasploit进行渗透测试，而Windows 2000系统都是本次任务中需要进行渗透入侵的靶机，保持安装后的默认状态，没有打额外的系统安全补丁。 图1 win10攻击机
图2 Windows 2000 靶机 2、扫描靶机 在正式开始渗透之前，应该对靶机进行扫描探测工作，搞清楚渗透目标的系统类型、开放的端口服务、可能存在的安全漏洞等。 在win10攻击机上运行metasploit console，即可进入Metasploit环境。 现在可以利用MSF框架中集成的Nmap扫描器对渗透测试目标进行扫描，如图3所示，获取了靶机的开放服务和操作系统类型等信息。
图3 windows 2000扫描结果
利用扫描器的脚步插件，还有可能直接探测出目标系统的安全漏洞，例如如图4所示，Nmap 利用smb-check-vulns插件扫描探测出了Windows 2000靶机存在MS08_067漏洞，命令执行如下：nmap -script= 。 namap扫描的结果里报告发现MS08-067：DISABLED。这是在暗示我们或许能够对这台主机进行渗透攻击，然后我们在Metasloit里面找到此漏洞的攻击模块，并尝试攻击目标机器。MS08-067是一个对操作系统版本依赖非常高的漏洞，所以在这里，我们只自动payload指定一下目标就可以确保触发正确的溢出代码。 图4漏洞扫描结果 3利用MS08_067漏洞渗透入侵 MS08-067漏洞的全称为“Windows Server服务RPC请求缓冲区溢出漏洞”，如果用户在受影响
缓冲区溢出攻击详细讲解 缓冲区溢出（Buffer Overflow）是计算机安全领域内既经典而又古老的话题。随着计算机系统安全性的加强，传统的缓冲区溢出攻击方式可能变得不再奏效，相应的介绍缓冲区溢出原理的资料也变得“大众化”起来。其中看雪的《0day安全：软件漏洞分析技术》一书将缓冲区溢出攻击的原理阐述得简洁明了。本文参考该书对缓冲区溢出原理的讲解，并结合实际的代码实例进行验证。不过即便如此，完成一个简单的溢出代码也需要解决很多书中无法涉及的问题，尤其是面对较新的具有安全特性的编译器——比如MS的Visual Studio2010。接下来，我们结合具体代码，按照对缓冲区溢出原理的循序渐进地理解方式去挖掘缓冲区溢出背后的底层机制。 一、代码 <=> 数据 顾名思义，缓冲区溢出的含义是为缓冲区提供了多于其存储容量的数据，就像往杯子里倒入了过量的水一样。通常情况下，缓冲区溢出的数据只会破坏程序数据，造成意外终止。但是如果有人精心构造溢出数据的内容，那么就有可能获得系统的控制权！如果说用户（也可能是黑客）提供了水——缓冲区溢出攻击的数据，那么系统提供了溢出的容器——缓冲区。 缓冲区在系统中的表现形式是多样的，高级语言定义的变量、数组、结构体等在运行时可以说都是保存在缓冲区内的，因此所谓缓冲区可以更抽象地理解为一段可读写的内存区域，缓冲区攻击的最终目的就是希望系统能执行这块可读写内存中已经被蓄意设定好的恶意代码。按照冯·诺依曼存储程序原理，程序代码是作为二进制数据存储在内存的，同样程序的数据也在内存中，因此直接从内存的二进制形式上是无法区分哪些是数据哪些是代码的，这也为缓冲区溢出攻击提供了可能。
缓冲区溢出攻击的分析及防范策略 摘要随着Internet及相关信息技术的迅速发展，网上的电子商务呈现出极大的增长势头，但是投入的增多意味着风险也随之而来，网络安全问 题成为各种网上活动需要考虑的头等大事。本文重点探讨一下缓冲区溢出对计算机系统造成的危害。因为几十年来，缓冲区溢出一直引起许多严重的安全性 问题。近年由CERT/CC(Computer Emergency Response Term/Coodination Center)发布的忠告中关于缓冲区溢出漏洞占56.76%以上。本文首先解释了缓 冲区溢出的概念，从程序语言本身存在缺陷，不够健壮的角度出发，对缓冲区 溢出的原理进行了详细的阐述；再次，通过一个会导致缓冲区溢出的程序代码 对缓冲区溢出攻击的产生进行了实例分析，同时还对Unix操作系统下的缓冲区溢出攻击进行了有针对性的分析，并总结出缓冲区溢出攻击的类型；最后，结 合缓冲区溢出攻击的类型，从系统管理和软件开发两个角度提出了缓冲区溢出 攻击的防范策略。关键字：缓冲区溢出攻击 AbstractWith the development of Internet and information technology, the great growth has appeared out in E-Commerce. But this trend lead to more venture, network security issue has become the cardinal task that various kinds of online activity need to consider.At present, the biggest problem on network is that computer software is usually not stalwart enough, sometimes such barrier will cause catastrophic result, especially when being utilized maliciously by the lawless person, the harm will hard to estimate.Buffer overflow attacking is a seriously problem in network security and cause serious security problems in recently years. Some program language have pestilent bug, for example, C program language doesn’t check the border of the array of number is apt to cause the buffer overflow, and therefore possibly cause the failure of program processing and paralysis of computer.This paper analysis deeply the principle and possible of buffer overflow attacking, and point out buffer overflow’s potential dangers. At last, according to the kinds of buffer overflow attacking, I put forward my own opinion of precautionary measures on buffer overflow attacking. Key Words: buffer overflow attacking 一缓冲区与出的概念及原理 1．1何谓缓冲区溢出缓冲区是用户为程序运行时在计算机中申请得的一段连 续的内存，它保存了给定类型的数据。缓冲区溢出指的是一种常见且危害很大 的系统攻击手段，通过向程序的缓冲区写入超出其长度的内容，造成缓冲区的 溢出，从而破坏程序的堆栈，使程序转而执行其他的指令，以达到攻击的目 的。 1．2缓冲区溢出的原理从上面的缓冲区溢出概念可以看出，缓冲区 溢出就是将一个超过缓冲区长度的字符串置入缓冲区的结果，这是由于程序设 计语言的一些漏洞，如C/C++语言中，不对缓冲区、数组及指针进行边界检 查，（strcpy()、strcat()、sprintf()、gets()等语句），在程序员也忽略对边界进行检查而向一个有限空间的缓冲区中置入过长的字符串可能会带来两种 结果：一是过长的字符串覆盖了相邻的存储单元，引起程序运行失败，严重的 可导致系统崩溃；另一种后果是利用这种漏洞可以执行任意指令，甚至可以取
缓冲区溢出攻击的分析及防范策略 系别：计算机科学系 班级：网络工程 姓名：姚康平 学号：3111101157 指导教师：乐丁惕 时间：2014-11-29
目录 1、缓冲区溢出攻击简介………………………………. 2、缓冲区溢出攻击原理………………………………. 3、缓冲区溢出攻击问题………………………………. 4、缓冲区溢出攻击危害……………………………….. 5、缓冲区溢出攻击防范方法…………………………… 6、缓冲区溢出攻击相关对策………………………….. 7、参考文献……………………………………………...
一、缓冲区溢出攻击简介 缓冲区溢出是指当计算机向缓冲区内填充数据位数时超过了缓冲区本身的容量，溢出的数据覆盖在合法数据上。理想的情况是：程序会检查数据长度，而且并不允许输入超过缓冲区长度的字符。但是绝大多数程序都会假设数据长度总是与所分配的储存空间相匹配，这就为缓冲区溢出埋下隐患。操作系统所使用的缓冲区，又被称为“堆栈”，在各个操作进程之间，指令会被临时储存在“堆栈”当中，“堆栈”也会出现缓冲区溢出。 二、缓冲区溢出攻击原理 通过往程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，使程序转而执行其它指令，以达到攻击的目的。造成缓冲区溢出的原因是程序中没有仔细检查用户输入的参数。例如下面程序： void function(char *str) { char buffer[16]; strcpy(buffer,str); } 上面的strcpy（）将直接把str中的内容copy到buffer中。这样只要str的长度大于16，就会造成buffer的溢出，使程序运行出错。存在像strcpy这样的问题的标准函数还有strcat（）、sprintf（）、vsprintf（）、gets（）、scanf（）等。 当然，随便往缓冲区中填东西造成它溢出一般只会出现分段错误（Segmentation fault），而不能达到攻击的目的。最常见的手段是通过制造缓冲区溢出使程序运行一个用户shell，再通过shell执行其它命令。如果该程序属于root且有suid权限的话，攻击者就获得了一个有root权限的shell，可以对系统进行任意操作了。 缓冲区溢出攻击之所以成为一种常见安全攻击手段其原因在于缓冲区溢出漏洞太普遍了，并且易于实现。而且，缓冲区溢出成为远程攻击的主要手段其原因在于缓冲区溢出漏洞给予了攻击者他所想要的一切：植入并且执行攻击代码。被植入的攻击代码以一定的权限运行有缓冲区溢出漏洞的程序，从而得到被攻击主机的控制权。 在1998年Lincoln实验室用来评估入侵检测的的5种远程攻击中，有2种是缓冲区溢出。而在1998年CERT的13份建议中，有9份是是与缓冲区溢出有关的，在1999年，至少有半数的建议是和缓冲区溢出有关的。在ugtraq的调查中，有2/3的被调查者认为缓冲区溢出漏洞是一个很严重的安全问题。 缓冲区溢出漏洞和攻击有很多种形式，会在第二节对他们进行描述和分类。相应地防卫手段也随者攻击方法的不同而不同，将在第四节描述，它的内容包括针对每种攻击类型的有效的防卫手段。 三、缓冲区溢出攻击问题 缓冲区溢出攻击的目的在于扰乱具有某些特权运行的程序的功能，这样可以使得攻击者取得程序的控制权，如果该程序具有足够的权限，那么整个主机就被控制了。一般而言，攻击者攻击root程序，然后执行类似“exec(sh）”的执行代码来获得root权限的shell。为了达到这个目的，攻击者必须达到如下的两个目标：
实验十二缓冲区溢出攻击与防范实验 1.实验目的 通过实验掌握缓冲区溢出的原理；通过使用缓冲区溢出攻击软件模拟入侵远程主机；理解缓冲区溢出危险性；理解防范和避免缓冲区溢出攻击的措施。2.预备知识 2.1缓冲区溢出攻击简介 缓冲区溢出攻击之所以成为一种常见的攻击手段，其原因在于缓冲区溢出漏洞太普通了，并且易于实现。而且，缓冲区溢出所以成为远程攻击的主要手段，其原因在于缓冲区溢出漏洞给予了攻击者所想要的一切：植入并且执行攻击代码。被植入的攻击代码以一定的权限运行有缓冲区溢出漏洞的程序，从而得到被攻击主机的控制权。下面简单介绍缓冲区溢出的基本原理和预防办法。 （1）缓冲区概念 缓冲区是内存中存放数据的地方。在程序试图将数据放到机器内存中的某一个位置的时候，因为没有足够的空间就会发生缓冲区溢出。而人为的溢出则是有一定企图的，攻击者写一个超过缓冲区长度的字符串，植入到缓冲区，然后再向一个有限空间的缓冲区中植入超长的字符串，这时可能会出现两个结果：一是过长的字符串覆盖了相邻的存储单元，引起程序运行失败，严重的可导致系统崩溃；另一个结果就是利用这种漏洞可以执行任意指令，甚至可以取得系统root特级权限。 缓冲区是程序运行的时候机器内存中的一个连续块，它保存了给定类型的数据，随着动态分配变量会出现问题。大多时为了不占用太多的内存，一个有动态分配变量的程序在程序运行时才决定给它们分配多少内存。如果程序在动态分配缓冲区放入超长的数据，它就会溢出了。一个缓冲区溢出程序使用这个溢出的数据将汇编语言代码放到机器的内存里，通常是产生root权限的地方。仅仅单个的缓冲区溢出并不是问题的根本所在。但如果溢出送到能够以root权限运行命令的区域，一旦运行这些命令，那可就等于把机器拱手相让了。造成缓冲区溢出的原因是程序中没有仔细检查用户输入的参数。 缓冲区是一块用于存放数据的临时内存空间，它的长度事先已经被程序或操作系统定义好。缓冲区类似于一个杯子，写入的数据类似于倒入的水。缓冲区溢出就是将长度超过缓冲区大小的数据写入程序的缓冲区，造成缓冲区的溢出，从
课程设计任务书 计通学院网络工程专业
一、缓冲区溢出概念 1、缓冲区溢出：指当计算机向缓冲区内填充数据位数时超过了缓冲区本身的容量溢出的数据覆盖在合法数据上,理想的情况是程序检查数据长度并不允许输入超过缓冲区长度的字符,但是绝大多数程序都会假设数据长度总是与所分配的储存空间相匹配,这就为缓冲区溢出埋下隐患.操作系统所使用的缓冲区又被称为"堆栈". 在各个操作进程之间,指令会被临时储存在"堆栈"当中,"堆栈"也会出现缓冲区溢出。 2、缓冲区最常见的攻击手段是通过制造缓冲区溢出使程序运行一个用户shell,在通过shell执行其他命令. 若该程序输入root且有suid权限的话,攻击者就获得了一个有root权限的shell,此时就可以对系统进行随意操作了.下面我来介绍一下如何控制程序跳转到攻击代码 ①打开记录(Activation Records) 在程序中,每一个函数调用发生,在堆栈中会留下一个Activation Records,它包括函数结束时返回的地址,攻击者通过溢出这些自动变量,使地址指向攻击程序代码. 通过改变程序的返回地址,当调用结束时,程序就跳到攻击者设定的地址,而不是原地址.这类溢出被称为 stacks mashing attack. ②函数指针(Function Pointers) void(*foo)(1)定义一个返回函数指针的变量foo, Function Pointers可用来定位任何地址空间. 所以只需在任何空间内的Function Pointers附近找到一个能溢出的缓冲区,然后溢出它来改变Function Pointers. 在某时刻,当程序通过Function Pointers调用函数时,程序的流程就按黑客的意图实现了(典型的溢出程序有:Linux下的Superprobe程序). ③长跳转缓冲区(Longjmpbuffers) 在C语言中,包含了一个简单的检验/恢复系统,称为setjmp/longjmp.即在检验点设定setjmp(buffer),用longjmp(buffer)恢复. 但若攻击者能够进入缓冲区空间,则longjmp(buffer)实际上跳转到攻击者的程序代码. 像Function Pointers, longjmp缓冲区能指向任何地方,所以攻击者要做的就是找到一个可供溢出的buffer即可. 最常见的是在一个字符串中综合了代码植入和打开记录. 攻击者定位或提供溢出的自动变量,然后向程序传一个超大字符串,在引发buffer溢出改变打开记录时植入程序代码,由此达到入侵系统的目的. 二、缓冲区溢出实例实现原理 1、堆栈的组成：
第4章 缓冲区溢出 内容提要 缓冲区溢出是一种常见的软件漏洞形式，可被用于实现远程植入、本地提权、信息泄露、拒绝服务等攻击目的，具有极大的攻击力和破坏力。学习缓冲区溢出原理和利用有助于巩固自身安全，加强系统防御。本章包含六个实验，涵盖了缓冲区溢出原理和利用两部分内容，前者包括栈溢出、整型溢出、UAF（Use After Free）类型缓冲区溢出实验，后者通过覆盖返回地址、覆盖函数指针和覆盖SHE（Structured Exception Handler）链表实验学习溢出利用技术。 本章重点 y缓冲区溢出原理及实践； y常见缓冲区溢出利用方式及实践。
·52· 网络安全实验教程 4.1 概述 缓冲区一词在软件中指的是用于存储临时数据的区域，一般是一块连续的内存区域，如char Buffer[256]语句就定义了一个256 B的缓冲区。缓冲区的容量是预先设定的，但是如果往里存入的数据大小超过了预设的区域，就会形成所谓的缓冲区溢出。例如，memcpy（Buffer, p, 1024）语句，复制的源字节数为1024 B，已经超过了之前Buffer缓冲区定义的256 B。 由于缓冲区溢出的数据紧随源缓冲区存放，必然会覆盖到相邻的数据，从而产生非预期的后果。从现象上看，溢出可能会导致： （1）应用程序异常； （2）系统服务频繁出错； （3）系统不稳定甚至崩溃。 从后果上看，溢出可能会造成： （1）以匿名身份直接获得系统最高权限； （2）从普通用户提升为管理员用户； （3）远程植入代码执行任意指令； （4）实施远程拒绝服务攻击。 产生缓冲区溢出的原因有很多，如程序员的疏忽大意，C语言等编译器不做越界检查等。学习缓冲区溢出的重点在于掌握溢出原理和溢出利用两方面的内容。 4.2 缓冲区溢出原理及利用 下面介绍缓冲区溢出原理和缓冲区溢出利用两部分内容。 4.2.1 缓冲区溢出原理 栈溢出、整型溢出和UAF（Use After Free）类型缓冲区溢出是缓冲区溢出常见的三种溢出类型，下面分别介绍它们的原理。 1．栈溢出原理 “栈”是一块连续的内存空间，用来保存程序和函数执行过程中的临时数据，这些数据包括局部变量、类、传入/传出参数、返回地址等。栈的操作遵循后入先出（Last In First Out，LIFO）的原则，包括出栈（POP指令）和入栈（PUSH指令）两种。栈的增长方向为从高地址向低地址增长，即新入栈数据存放在比栈内原有数据更低的内存地址，因此其增长方向与内存的增长方向正好相反。 有三个CPU寄存器与栈有关： （1）SP（Stack Pointer，x86指令中为ESP，x64指令中为RSP），即栈顶指针，它随着数据入栈出栈而变化；
缓冲区溢出漏洞 IBM软件研究院 缓冲区溢出漏洞，是一种在软件中最容易发生的漏洞。它发生的原理是，由于软件在处理用户数据时使用了不限边界的拷贝，导致程序内部一些关键的数据被覆盖，引发了严重的安全问题。 缓冲区指的是操作系统中用来保存临时数据的空间，一般分为栈和堆两种缓冲区类型。缓冲区溢出漏洞是一种非常普通、非常危险的漏洞，在各种操作系统、应用软件，甚至是Web应用程序中广泛存在。 利用缓冲区溢出攻击，可以导致程序运行失败、系统当机、重新启动等后果。更为严重的是，可以利用它执行非授权指令，甚至可以取得系统特权，进而进行各种非法操作。 在当前网络与操作系统安全中，50%以上的攻击都是来自于缓冲区溢出漏洞。而缓冲区溢出中，最为危险的是栈溢出，因为入侵者可以利用栈溢出，在函数返回时改变返回程序的地址，让其跳转到任意地址，带来的一种是程序崩溃导致拒绝服务，另外一种就是跳转并且执行一段恶意代码，然后为所欲为。 这里要澄清一个概念，很多人把缓冲区溢出称之为堆栈溢出漏洞，其实是错误的，堆溢出和栈溢出是两个不同的概念，都属于缓冲区溢出。 平时听说的缓冲区溢出大部分都是属于栈溢出。由于程序在实现的过程中，往往会自定义一些内存空间来负责接受或者存储数据，这些被直接定义的空间大小是有限的，因此当程序将过多的数据不经检查而直接放入这些空间中时，就会发生栈溢出。 栈溢出最为直接的危害是，这些被过量放进内存空间的数据会将函数的返回地址覆盖。“返回地址”的概念来自于CPU处理指令的结构设计。如果程序现在准备调用一个函数，CPU首先会将执行完这个函数后将要执行的指令地址存储到栈空间中，然后CPU开始执行函数，执行完毕，CPUCPU取出前面保存的指令地址，然后接着执行。这个“返回地址”是保存在栈空间中的，而程序一般定义的空间也是在栈中进行分配的，这就给了我们覆盖这个“返回地址”的机会。 栈是一个先进后出的空间，而堆则恰恰相反，是一个先进先出的空间。缓冲区溢出就是把这些空间装满后还继续往里面装。 但是对于一个软件来讲，危害可能不仅仅如此，用一个表来表示这个过程在栈溢出发生的时候，软件运行时内存中的情况。 正常： Lower Addresses buf2 buf1 var3 saved %EBP return address function()'s arguments saved %EBP
缓冲区溢出攻击的分析及防范策略 摘要 随着Internet及相关信息技术的迅速发展，网上的电子商务呈现出极大的增长势头，但是投入的增多意味着风险也随之而来，网络安全问题成为各种网上活动需要考虑的头等大事。本文重点探讨一下缓冲区溢出对计算机系统造成的危害。因为几十年来，缓冲区溢出一直引起许多严重的安全性问题。近年由CERT/CC(Computer Emergency Response Term/Coodination Center)发布的忠告中关于缓冲区溢出漏洞占56.76%以上。 本文首先解释了缓冲区溢出的概念，从程序语言本身存在缺陷，不够健壮的角度出发，对缓冲区溢出的原理进行了详细的阐述；再次，通过一个会导致缓冲区溢出的程序代码对缓冲区溢出攻击的产生进行了实例分析，同时还对Unix操作系统下的缓冲区溢出攻击进行了有针对性的分析，并总结出缓冲区溢出攻击的类型；最后，结合缓冲区溢出攻击的类型，从系统管理和软件开发两个角度提出了缓冲区溢出攻击的防范策略。 关键字：缓冲区溢出攻击 Abstract With the development of Internet and information technology, the great growth has appeared out in E-Commerce. But this trend lead to more venture, network security issue has become the cardinal task that various kinds of online activity need to consider. At present, the biggest problem on network is that computer software is usually not stalwart enough, sometimes such barrier will cause catastrophic result, especially when being utilized maliciously by the lawless person, the harm will hard to estimate. Buffer overflow attacking is a seriously problem in network security and cause serious security problems in recently years. Some program language have pestilent bug, for example, C program language doesn‘t check the border of the array of number is apt to cause the buffer overflow, and therefore possibly cause the failure of program processing and paralysis of computer. This paper analysis deeply the principle and possible of buffer overflow attacking, and point out buffer overflow‘s potential dangers. At last, according to the kinds of buffer overflow a ttacking, I put forward my own opinion of precautionary measures on buffer overflow attacking. Key Words: buffer overflow attacking 一缓冲区与出的概念及原理 1．1何谓缓冲区溢出 缓冲区是用户为程序运行时在计算机中申请得的一段连续的内存，它保存了给定类型的数据。缓冲区溢出指的是一种常见且危害很大的系统攻击手段，通过向程序的缓冲区写入超出其长度的内容，造成缓冲区的溢出，从而破坏程序的堆栈，使程序转而执行其他的指令，以达到攻击的目的。
摘要： 正文： 大纲： 1.引言； 随着网络安全技术的飞速发展，缓冲区溢出漏洞已经成为当前最具安全威胁的漏洞之一，缓冲区溢出攻击也成为一种非常有效而常见的攻击方法。如Internet上的第1例蠕虫(Morris)攻击，就是利用了fingerd的缓冲区溢出漏洞。SANS评选出的2005年威胁最大的20个漏洞中，有8个跟缓冲区溢出有关。根据CNCERT最近几周的计算机安全漏洞的统计数据，与缓冲区溢出有关的安全事件占了很大的比例。这些都充分说明了研究缓冲区溢出的重要性。本文主要介绍了windows下的缓冲区溢出的相关知识。 2.漏洞原因和原理； 2.1 产生原因； 当向一个已分配了确定存储空间的缓冲区内复制多于该缓冲区处理能力的数据时，就会发生缓冲区溢出，溢出包括堆溢出和堆栈溢出。它与程序在内存中的分布有关，而它产生的直接原因是由于C/C++程序中的一些函数调用时，没有进行边界检查，如C函数库中的strcpy()，strcat()，sprintf()，gets()等都是不安全的。 由上面的分析可知要产生缓冲区溢出,需要有几个条件: 1) 程序编译时在堆栈上分配了固定大小的缓冲区,并且在对缓冲区进行访问时没有提供边界检查。这条在C/C ++语言中就满足,而对于有边界检查的语言,如Pascal 等,就没有这样的溢出问题。 2) 程序调用了没有进行边界检查的函数来访问(写操作) 缓冲区,这些函数没有对访问的缓冲区的大小进行判断。由于在C语言中,字符串以0字节来标识结尾,其中没有字符串的长度信息,所以几个没有判断字符串长度的字符串拷贝函数就是容易出现问题的函数。这些函数有: strcat()、strcpy()、sprintf()等。 3) 即使程序使用了上面所说的问题函数也不一定会出现溢出漏洞,漏洞发生的最后一个条件是程序员由于粗心,未检查用户输入数据的长度就将其直接复制到缓冲区中去。虽然这看起来是一件小事,很容易杜绝。可惜的是正因为有大量粗心的程序员的存在,使得溢出漏洞变得非常的普遍。 2.2 原理； 图1 堆栈缓冲区示意图 程序的堆栈是先进后出的一种数据结构，堆栈的生长方向适合内存相反的（如图1）。当调用一个函数时，首先是函数的参数逆序进栈，然后将eip里面的内容进栈作为函数的返回地址(ret)，即函数调用结束后程序跳转的地址，接着保存现在程序的栈基指针(ebp)，并将当前栈顶指针(esp)拷入ebp作为新的基地址．最后将esp减去一定数值用来为本地变量留出一定空间。缓存区往往就分配在这段空间中。
第27卷 第2期2003年2月 信 息 技 术 I NFORMATI ON TECHNOLOGY VOL.27 NO.2 Feb.2003 Windows平台下的缓冲区溢出漏洞分析 邵 丹,唐世钢,林 枫 (哈尔滨理工大学测试技术与通信工程学院,哈尔滨150080) 摘 要:就windows平台下利用缓冲区溢出漏洞发起攻击时遇到的几个技术问题提出了一些想法和解决思路,这些问题包括:子函数返回时原缓冲区释放导致攻击代码shellcode无效问题; shellcode中跳转指令地址问题;shellcode所使用函数问题。 关键词:Windo ws;缓冲区溢出;漏洞 中图分类号:TP393.08 文献标识码:B 文章编号:1009-2552(2003)02-0017-03 The Analysis of Buffer Overflow Exploit under Windows OS Shao Dan,Tang Shigang,Lin Feng (College of Measure-control Technology&C ommunication Eng ineering,Harbin Univ.Sci.Tech,Harbin150080,China) Abstract:This article analyze some technical problems about overflow exploit under Windows OS and brings for word some ideas about how to solve them.These proble ms include:The function stack be released when func tion return;that result in the invalidation of shellcode,The proble m about jump address in shellcode,The problem about the function used in shellcode. Key words:Windows;Overflow;Exploit 1 缓冲区溢出 缓冲区溢出指的是一种系统攻击的手段。通过往程序的缓冲区写超出其长度的内容,造成缓冲区的溢出,从而破坏程序的堆栈,使程序转而执行其它指令,以达到攻击的目的。据统计,通过缓冲区溢出进行的攻击占所有系统攻击总数的80%以上。 造成缓冲区溢出的原因是程序中没有仔细检查用户输入的参数。例如下面程序: e xample1.c ------------- void function(char*str){ char buffer[16]; strcpy(buffer,str); } ------------- 上面的strcpy()将直接把str中的内容copy到buffer中。这样只要str的长度大于16,就会造成buffer的溢出,使程序运行出错。存在象strcpy这样的问题的标准函数还有strcat(),sprintf(),vsprintf(), gets(),scanf(),以及在循环内的getc(),fgetc(),get char()等。当然,随便往缓冲区中填东西造成它溢出一般只会出现Segmentation fault错误,而不能达到攻击的目的。最常见的手段是通过制造缓冲区溢出使程序运行一个用户shell,再通过shell执行其它命令。如果该程序属于root且有suid权限的话,攻击者就获得了一个有root权限的shell,可以对系统进行任意操作了。 2 制造缓冲区溢出 一个程序在内存中通常分为程序段,数据端和堆栈三部分。程序段里放着程序的机器码和只读数据。数据段放的是程序中的静态数据。动态数据则通过堆栈来存放。在内存中,它们的位置是: 收稿日期:2002-10-15 作者简介:邵丹(1978-),男,2000年哈尔滨理工大学硕士研究生,研究方向:计算机网络安全。