緩沖區(qū)溢出原理主講老師石淑華緩沖區(qū)溢出現(xiàn)象從一個對話框說起……什么是緩沖區(qū)、緩沖區(qū)溢出？從程序的角度，緩沖區(qū)就是應(yīng)用程序用來保存用戶輸入數(shù)據(jù)、臨時數(shù)據(jù)的內(nèi)存空間。如果用戶輸入的數(shù)據(jù)長度超出了程序為其分配的內(nèi)存空間，這些數(shù)據(jù)就會覆蓋程序為其它數(shù)據(jù)分配的內(nèi)存空間，形成所謂的緩沖區(qū)溢出。樣例程序1#include"stdafx.h"intmain(intargc,char*argv[]){ charbuffer[8];

printf("Pleaseinputyourname:");

gets(buffer); printf("Yournameis:%s!\n",buffer); return0;}發(fā)生溢出樣例程序2voidfunc(char*input){ charbuffer[16];

strcpy(buffer,input);}上面的strcpy()將直接把input中的內(nèi)容復(fù)制到buffer中。這樣只要input的長度大于16，就會造成buffer的溢出，使程序運行出錯C語言存在像strcpy這樣問題的標準函數(shù)還有strcat()，sprintf()，vsprintf()，gets()，scanf()以及在循環(huán)內(nèi)的getc()，fgetc()，getchar()等緩沖區(qū)溢出帶來的問題引起程序運行失敗嚴重時可導(dǎo)致系統(tǒng)崩潰可以人為利用緩沖區(qū)溢出來執(zhí)行代碼（shellcode），從而取得對系統(tǒng)的控制權(quán)最常見的手段是通過制造緩沖區(qū)溢出使程序運行一個用戶shell，再通過shell執(zhí)行其他命令。如果該shell程序?qū)儆趓oot（或者system）權(quán)限的話，攻擊者便可以對系統(tǒng)進行任意操作緩沖區(qū)認識緩沖區(qū)緩沖區(qū)(buffer)是暫時存放輸出或輸入資料的內(nèi)存。（它是內(nèi)存空間的一部分）什么是緩沖區(qū)溢出緩沖區(qū)溢出（bufferoverflow），是由于程序設(shè)計缺陷，程序輸入數(shù)據(jù)時，向緩沖區(qū)寫入的數(shù)據(jù)超過被分配內(nèi)存空間，而導(dǎo)致數(shù)據(jù)溢出，使得溢出的數(shù)據(jù)覆蓋了其他內(nèi)存空間的數(shù)據(jù)，從而破壞程序正常運行。程序在內(nèi)存中的映像……文本（代碼）段數(shù)據(jù)段堆棧段內(nèi)存低地址內(nèi)存高地址內(nèi)存遞增方向初始化數(shù)據(jù)段非初始化數(shù)據(jù)段(BSS)堆(Heap)棧(stack)堆的增長方向棧的增長方向內(nèi)核數(shù)據(jù)代碼PEB&TEB系統(tǒng)DLL代碼段程序在內(nèi)存中的映像文本區(qū)域包括代碼(指令)和只讀數(shù)據(jù).該區(qū)域相當(dāng)于可執(zhí)行文件的文本段.這個區(qū)域通常被標記為只讀。數(shù)據(jù)區(qū)域包含了已初始化和未初始化的數(shù)據(jù).靜態(tài)變量儲存在這個區(qū)域中。堆?？捎糜诮o函數(shù)中使用的局部變量動態(tài)分配空間,給函數(shù)傳遞參數(shù)和函數(shù)返回值也要用到堆棧。堆往高地址增長，而棧往低地址增長。棧棧是一塊連續(xù)的內(nèi)存空間先入后出生長方向與內(nèi)存的生長方向正好相反,從高地址向低地址生長每一個線程有自己的棧，提供一個暫時存放數(shù)據(jù)的區(qū)域使用POP/PUSH指令來對棧進行操作使用ESP寄存器指向棧頂，EBP指向棧幀底變量EIPbuffer1.....EBP函數(shù)棧結(jié)構(gòu)棧低地址棧高地址ESP棧內(nèi)容函數(shù)的參數(shù)函數(shù)返回地址EBP（棧底指針）的值一些通用寄存器(EDI,ESI…)的值當(dāng)前正在執(zhí)行的函數(shù)的局部變量CPU里的三個重要寄存器ESP（RSP）：即棧頂指針，隨著數(shù)據(jù)入棧、出棧而發(fā)生變化。EBP(RBP)：即基地址指針，用于標識棧中一個相對穩(wěn)定的位置。通過EBP可以方便地引用函數(shù)參數(shù)以及局部變量。EIP(RIP)：即指令寄存器，在將某個函數(shù)的棧幀壓入棧中時，其中就包含當(dāng)前的EIP值，即函數(shù)調(diào)用返回后下一個執(zhí)行語句的地址。備注：ESP（32位）RSP（64位）函數(shù)調(diào)用過程把參數(shù)壓入棧保存指令寄存器中（EIP）的內(nèi)容，作為返回地址放入堆棧當(dāng)前的基址寄存器（EBP）把當(dāng)前的棧指針(ESP)拷貝到基址寄存器（EBP），作為新的基地址為本地變量留出一定空間，把ESP減去適當(dāng)?shù)臄?shù)值函數(shù)調(diào)用中棧的工作過程調(diào)用函數(shù)前，壓入棧：上級函數(shù)傳給A函數(shù)的參數(shù)返回地址(EIP)當(dāng)前的EBP函數(shù)的局部變量調(diào)用函數(shù)后：恢復(fù)EBP恢復(fù)EIP局部變量不作處理例子intAFunc(inti,intj){ intm=3;

intn=4; m=i; n=j; …………… return8;}intmain(){ AFunc(5,6); return0;}函數(shù)調(diào)用中棧的工作過程函數(shù)調(diào)用中棧的工作過程緩沖區(qū)溢出利用的思路Fun(char*input){ charszBuf[8]={0}; strcpy(szBuf,input); …}input的內(nèi)容：用Shellcode函數(shù)的地址對EIP的填充6szBuf5EIPEBPEDIESIEBX3（m=3）4（n=4）ShellcodeShellcodeShellcode實際是一段代碼，是發(fā)生緩沖區(qū)溢出后將要執(zhí)行的代碼Shellcode的作用就是實現(xiàn)漏洞利用者想要達到的目的，一般是用來安裝木馬或者提升權(quán)限的Shellcode的功能添加administrators或者root組用戶開啟遠程shell下載程序（Trojan或者Rootkit）執(zhí)行變量2函數(shù)ACALLA函數(shù)A返回地址（0x4101）變量1buffer1EBP棧棧覆蓋后棧低地址主函數(shù)buffer1填充shellcode1正常時候棧棧高地址代碼段..........0x41000x4101shellcode在棧中

0x1100jmp0x11000x5100Shellcode在棧中變量2函數(shù)ACALLA函數(shù)A返回地址（0x4101）變量1buffer1...