標?題 :? 【技術專題】軟件漏洞分析入門_4_初級棧溢出C_修改程序流程
作?者 :? failwest
時?間 :? 2007 - 12 - 15 , 01 : 01
 鏈?接 :? http : //bbs.pediy.com/showthread.php?t=56582

 第 4 講??初級棧溢出C

To?be?the?apostrophe?which?changed?“Impossible”?into?“I’m?possible”
——?failwest

沒有星星的夜里，我用知識吸引你

上節課沒有操練滴東西，不少蠢蠢欲動的同學肯定已經坐不住了。悟空，不要猴急，下面的兩堂課都是實踐課，用來在實踐中深入體會上節課中的知識，并且很有趣味性哦


??信息安全技術是一個對技術性要求極高的領域，除了扎實的計算機理論基礎外、更重要的是優秀的動手實踐能力。在我看來，不懂二進制就無從談起安全技術。


??緩沖區溢出的概念我若干年前已經了然于胸，不就是淹個返回地址把CPU指到緩沖區的shellcode去么。然而當我開始動手實踐的時候，才發現實際中的情況遠遠比原理復雜。

??國內近年來對網絡安全的重視程度正在逐漸增加，許多高校相繼成立了“信息安全學院”或者設立“網絡安全專業”。科班出身的學生往往具有扎實的理論基礎，他們通曉密碼學知識、知道PKI體系架構，但要談到如何真刀實槍的分析病毒樣本、如何拿掉PE上復雜的保護殼、如何在二進制文件中定位漏洞、如何對軟件實施有效的攻擊測試……能夠做到的人并不多。

??雖然每年有大量的網絡安全技術人才從高校涌入人力市場，真正能夠滿足用人單位需求的卻聊聊無幾。捧著書本去做應急響應和風險評估是濫竽充數的作法，社會需要的是能夠為客戶切實解決安全風險的技術精英，而不是滿腹教條的闊論者。


??我所知道的很多資深安全專家都并非科班出身，他們有的學醫、有的學文、有的根本沒有學歷和文憑，但他們卻技術精湛，充滿自信。

??這個行業屬于有興趣、夠執著的人，屬于為了夢想能夠不懈努力的意志堅定者。如果你是這樣的人，請跟著我把這個系列的所有實驗全部完成，之后你會發現眼中的軟件，程序，語言，計算機都與以前看到的有所不同——因為以前使用肉眼來看問題，我會教你用心和調試器以及手指來重新體驗它們。

首先簡單復習上節課的內容：

高級語言經過編譯后，最終函數調用通過為其開辟棧幀來實現

開辟棧幀的動作是編譯器加進去的，高級語言程序員不用在意

函數棧幀中首先是函數的局部變量，局部變量后面存放著函數返回地址

當前被調用的子函數返回時，會從它的棧幀底部取出返回地址，并跳轉到那個位置（母函數中）繼續執行母函數

我們這節課的思路是，讓溢出數組的數據躍過authenticated，一直淹沒到返回地址，把這個地址從main函數中分支判斷的地方直接改到密碼驗證通過的分支！

這樣當verify_password函數返回時，就會返回到錯誤的指令區去執行（密碼驗證通過的地方）


由于用鍵盤輸入字符的ASCII表示范圍有限，很多值如 0x11 ， 0x12 等符號無法直接用鍵盤輸入，所以我們把用于實驗的代碼在第二講的基礎上稍加改動，將程序的輸入由鍵盤改為從文件中讀取字符串。

 #include? < stdio . h >
 #define? PASSWORD? "1234567"
 int? verify_password? ( char? * password )
{
?? int? authenticated ;
?? char? buffer [ 8 ];
?? authenticated = strcmp ( password , PASSWORD );
?? strcpy ( buffer , password ); //over?flowed?here!??
?? return? authenticated ;
}
 main ()
{
?? int? valid_flag = 0 ;
?? char? password [ 1024 ];
?? FILE? *? fp ;
?? if (!( fp = fopen ( "password.txt" , "rw+" )))
??{
???? exit ( 0 );
??}
?? fscanf ( fp , "%s" , password );
?? valid_flag? =? verify_password ( password );
?? if ( valid_flag )
??{
???? printf ( "incorrect?password!\n" );
??}
?? else
?? {
???? printf ( "Congratulation!?You?have?passed?the?verification!\n" );
??}
?? fclose ( fp );
}

?? 程序的基本邏輯和第二講中的代碼大體相同，只是現在將從同目錄下的password . txt文件中讀取字符串而不是用鍵盤輸入。我們可以用十六進制的編輯器把我們想寫入的但不能直接鍵入的ASCII字符寫進這個password . txt文件。
??
??用VC6 .0 將上述代碼編譯鏈接。我這里使用默認編譯選項，BUILD成debug版本。鑒于有些同學反映自己的用的是VS2003和VS2005，我好人做到底，把我build出來的PE一并在附件中雙手奉上——沒話說了吧！不許不學，不許學不會，不許說難，不許不做實驗！呵呵。

要PE的點這里：?stack_overflow_ret . rar



在與PE文件同目錄下建立password . txt并寫入測試用的密碼之后，就可以用OllyDbg加載調試了。

停～～～啥是OllyDbg，開玩笑，在這里問啥是Ollydbg分明是不給看雪老大的面子么！如果沒有這個調試器的話，去工具版找吧，帖子附件要掛出個OD的話會給被人鄙視的。

??在開始動手之前，我們先理理思路，看看要達到實驗目的我們都需要做哪些工作。

??要摸清楚棧中的狀況，如函數地址距離緩沖區的偏移量，到底第幾個字節能淹到返回地址等。這雖然可以通過分析代碼得到，但我還是推薦從動態調試中獲得這些信息。
??要得到程序中密碼驗證通過的指令地址，以便程序直接跳去這個分支執行
??要在password . txt文件的相應偏移處填上這個地址

??這樣verify_password函數返回后就會直接跳轉到驗證通過的正確分支去執行了。


??首先用OllyDbg加載得到的可執行PE文件如圖：
圖 1??



?? 閱讀上圖中顯示的反匯編代碼，可以知道通過驗證的程序分支的指令地址為 0x00401122 。

簡單解釋一下這段匯編與C語言的對應關系，其實憑著OD給出的注釋，就算你沒學過匯編語言，讀懂也應該沒啥問題。

 0x00401102 處的函數調用就是verify_password函數，之后在 0x0040110A 處將EAX中的函數返回值取出?，在? 0x0040110D 處與 0 比較，然后決定跳轉到提示驗證錯誤的分支或提示驗證通過的分支。提示驗證通過的分支從 0x00401122 處的參數壓棧開始。

啥？用OllyDbg加載后找不到verify_password函數的位置？這個嘛，我這里只說一次啊。

OllyDbg在默認情況下將程序中斷在PE裝載器開始處，而不是main函數的開始。如果您有興趣的話可以按F8單步跟蹤一下看看在main函數被運行之前，裝載器都做了哪些準備工作。一般情況下main函數位于GetCommandLineA函數調用后不遠處，并且有明顯的特征：在調用之前有 3 次連續的壓棧操作，因為系統要給main傳入默認的argc、argv等參數。找到main函數調用后，按F7單步跟入就可以看到真正的代碼了。

我相信你，你一定行的，找到了嗎？什么？還找不到？好吧，按ctr + g后面輸入截圖中的地址 0x00401102 ，這回看到了吧。建議你按F2下個斷點記住這個位置，別一會兒又在PE里邊迷路了。

這步完成后，您應該對這個PE的主要代碼有了一個把握了。這才牙長一點指令啊，真正的漏洞要對付的是軟件，那個難纏～～～好，不潑冷水了

如果我們把返回地址覆蓋成這個地址，那么在 0x00401102? 處的函數調用返回后，程序將跳轉到驗證通過的分支，而不是進入 0x00401107 處分支判斷代碼。這個過程如下圖所示：

??
圖 2



?? 通過動態調試，發現棧幀中的變量分布情況基本沒變。這樣我們就可以按照如下方法構造password . txt中的數據：

??仍然出于字節對齊、容易辨認的目的，我們將“ 4321 ”作為一個輸入單元。

??buffer [ 8 ] 共需要 2 個這樣的單元
??第 3 個輸入單元將authenticated覆蓋
??第 4 個輸入單元將前棧幀EBP值覆蓋
??第 5 個輸入單元將返回地址覆蓋

??為了把第 5 個輸入單元的ASCII碼值 0x34333231 修改成驗證通過分支的指令地址 0x00401122 ，我們采取如下方式借助 16 進制編輯工具UltraEdit來完成（ 0x40 ， 0x11 等ASCII碼對應的符號很難用鍵盤輸入）。
??
??步驟 1 ：創建一個名為password . txt的文件，并用記事本打開，在其中寫入 5 個“ 4321 ”后保存到與實驗程序同名的目錄下：
?
圖 3



 步驟 2 ：保存后用UltraEdit_32重新打開，如圖：
?
圖 4


 啥？問啥是UltraEdit？去工具版找吧，多的不得了，這里是看雪！


步驟 3 ：將UltraEdit_32切換到 16 進制編輯模式，如圖：
?
圖 5

 步驟寫到這個份上了，您不會還跟不上吧。


??步驟 4 ：將最后四個字節修改成新的返回地址，注意這里是按照“內存數據”排列的，由于“大頂機”的緣故，為了讓最終的“數值數據”為 0x00401122 ，我們需要逆序輸入這四個字節。如圖：
?
圖 6



 步驟 5 ：這時我們可以切換回文本模式，最后這四個字節對應的字符顯示為亂碼：
?
圖 7



 最終的password . txt我也給你附上。

要txt的點這里：??password . txt

將password . txt保存后，用OllyDbg加載程序并調試，可以看到最終的棧狀態如下表所示：

局部變量名??內存地址??偏移 3 處的值??偏移 2 處的值??偏移 1 處的值??偏移 0 處的值
buffer [ 0 ~ 3 ]?? 0x0012FB14??0x31? ( ‘ 1 ’ )?? 0x32? ( ‘ 2 ’ )?? 0x33? ( ‘ 3 ’ )?? 0x34? ( ‘ 4 ’ )
 buffer [ 4 ~ 7 ]?? 0x0012FB18??0x31? ( ‘ 1 ’ )?? 0x32? ( ‘ 2 ’ )?? 0x33? ( ‘ 3 ’ )?? 0x34? ( ‘ 4 ’ )
 authenticated
（被覆蓋前）?? 0x0012FB1C??0x00??0x00??0x00??0x01
 authenticated
（被覆蓋后）?? 0x0012FB1C??0x31? ( ‘ 1 ’ )?? 0x32? ( ‘ 2 ’ )?? 0x33? ( ‘ 3 ’ )?? 0x34? ( ‘ 4 ’ )
 前棧幀EBP
（被覆蓋前）?? 0x0012FB20??0x00??0x12??0xFF??0x80
 前棧幀EBP
（被覆蓋后）?? 0x0012FB20??0x31? ( ‘ 1 ’ )?? 0x32? ( ‘ 2 ’ )?? 0x33? ( ‘ 3 ’ )?? 0x34? ( ‘ 4 ’ )
 返回地址
（被覆蓋前）?? 0x0012FB24??0x00??0x40??0x11??0x07
 返回地址
（被覆蓋后）?? 0x0012FB24??0x00??0x40??0x11??0x22


 程序執行狀態如圖：

??由于棧內EBP等被覆蓋為無效值，使得程序在退出時堆棧無法平衡，導致崩潰。雖然如此，我們已經成功的淹沒了返回地址，并讓處理器如我們設想的那樣，在函數返回時直接跳轉到了提示驗證通過的分支。


同學們，你們成功了么？

最后再總結一下這個實驗的內容：
通過Ollydbg調試PE文件確定密碼驗證成功的分支的指令所處的內存地址為 0x00401122
 通過調試確定buffer數組距離棧幀中函數返回地址的偏移量
在password . txt相應的偏移處準確的寫入 0x00401122 ，當password . txt被讀入后會同樣準確的把verify_password函數的返回地址從分支判斷處修改到 0x00401122 （密碼正確分支）
函數返回時，笨笨的返回到密碼正確的地方
程序繼續執行，但由于棧被破壞，不再平衡，故出錯

試想一下，如果我們在buffer [] 中填入一些可執行的機器碼，然后用溢出的數據把返回地址指向buffer [] ，那么函數返回后這些代碼是不是就會執行了？

答案是肯定的，下一講我將用類似的敘述方式，同樣手把手的和您一起完成這段機器代碼的編寫，并把它們準確的布置在password . txt中，這樣原本用來讀取密碼文件的程序讀了這樣一個精心構造的“黑文件”之后，就會做出一些“出格”的事情了。

明天見，順便說一下，我一般會在凌晨 1 點左右發文，想坐沙發的同學注意了呦。