缓冲区溢出小程序分析

首先来看看C语言溢出小程序

缓冲区溢出小程序分析

这个程序看着好像是没有任何问题,运行是这样的:

缓冲区溢出小程序分析

我们主要关注这个check函数,首先定义了一个int类型的数组且其中个数为8个,下一行将fun函数地址存入arr[9]中,其实这里我们可以看到定义数组的时候个数也就是8,实际到达的下标是7,所以我们最多能取数组的值为arr[7],连8都不到,这里我们获取fun函数地址的时候却存到了下标为9的地址,跳了一个下标。首先来了解下数组的存储方式

缓冲区溢出小程序分析

这是我简单画的数组存储的堆栈图,数组是使用连续的内存空间来存储的,说白了和局部变量的存储差异不大,我们现在开始分析代码:

缓冲区溢出小程序分析

现在我们记住ebp和esp的值

缓冲区溢出小程序分析

现在我们来把这个堆栈图画一下

缓冲区溢出小程序分析

这里按F11进入函数体中,call进函数会将它下一行地址压入栈中,然后调到函数体,这时再来看看堆栈的变化:

缓冲区溢出小程序分析

缓冲区溢出小程序分析

接着往下走,我们看看函数体中的代码:

缓冲区溢出小程序分析

进入函数后将ebp压入栈中,然后将esp中的值移动到ebp中,之后esp-60h(60h/4h=18h=24)提升栈空间,再来看看此时的堆栈:

缓冲区溢出小程序分析

缓冲区溢出小程序分析

接下来将ebx,esi,edi依次推入栈中,下面的代码到rep指令是将缓冲区填充为CCCCCCCCCh,再来看看堆栈的变化:

缓冲区溢出小程序分析

缓冲区溢出小程序分析

接着往下走

缓冲区溢出小程序分析

这里是将数组存到缓冲区中,从低地址向高地址存储,20h/4h=8h=8从esp的位置向上数八格就是存储1的位置,依次存储下来,再来看看栈中的变化:

缓冲区溢出小程序分析

缓冲区溢出小程序分析

缓冲区溢出小程序分析

缓冲区溢出小程序分析

缓冲区溢出小程序分析

缓冲区溢出小程序分析

这里是取fun的地址出来并转换为int类型,然后存入数组下标为9的地方,我们看看ebp+4这个地址执行前后的变化

执行前

缓冲区溢出小程序分析

缓冲区溢出小程序分析

执行后

缓冲区溢出小程序分析

缓冲区溢出小程序分析

缓冲区溢出小程序分析

经过这个对比之后,ebp+4刚好是这个存储返回地址的地方,我们继续往下走

缓冲区溢出小程序分析

异或eax之后,依次取出edi,esi,ebx,然后将ebp的值移动到esp中,随后取出ebp,再来看看堆栈变化:

缓冲区溢出小程序分析

缓冲区溢出小程序分析

缓冲区溢出小程序分析

上面的操作是使堆栈平衡,接着来看

缓冲区溢出小程序分析

接着执行了一个ret,ret的操作相当于pop eip,F11一下,看看eip

缓冲区溢出小程序分析

缓冲区溢出小程序分析

缓冲区溢出小程序分析

缓冲区溢出小程序分析

就这样进入了fun函数

缓冲区溢出小程序分析

缓冲区溢出小程序分析

本次分析就是分析缓冲区都溢出了为何还能执行fun函数,到这里我们可以知道溢出之后覆盖掉了程序的返回地址,所以导致程序进入了fun函数中。溢出并不可怕,可怕的是不会调试啊!

上一篇:沙箱:挖掘你的安全隐患

下一篇:汇编眼中的函数调用参数传递以及全局与局部变量与“基址”