Linuxバッファオーバーフロー環境変数

Question

バッファオーバーフローのさまざまなスタイルをレビューしていて、なぜそれが発生するのか覚えていない問題が発生しました。

#include <stdio.h> 

void func(char *buff){ 
    char buffer[5]; 
    strcpy(buffer, buff); 
    printf("%s\n", buffer); 
} 

int main(int argc, char *argv[]){ 
    func(argv[1]); 
    printf("I'm done!\n"); 
    return 0; 
} 

プログラムの中核となる概念は非常に簡単です、私はちょうどfunc()のリターンアドレスを上書きするために、バッファをオーバーフロー：次のようにコードは、私が上のバッファオーバーフローを実行しようとしていますプログラムです。プログラムの<_fini>である0x0804850cのようなアドレスを私が与えるとき、それはすべて素晴らしいです。そのアドレスでオーバーフローを実装すると、最終的にプログラムは終了します。I'm done!を印刷せずに "正常に"終了します。私が今実行している問題は、リターンアドレスを0xbfffd89にある環境変数のようなものにリダイレクトしようとするときです。

その特定の環境変数にあるシェルコードは、helloの後にプログラムを終了するだけです。しかし、それは発生しません、プログラムは単に欠陥をsegし、それはそれです。シェルコードはシェルコードをテストするために書いた前のプログラムで動作することが確認されています。誰もが、なぜこれが動作していないか考えている。 Thx

Answer 1

環境変数は、書き込み許可があるが実行権限はなく、&のメモリ領域にあります。次のように私は簡単にこれを再現：

#include <stdio.h> 
#include <stdlib.h> 

int 
main(int argc, char **argv) 
{ 
void (*function)(void); 

     function = (void (*)(void))getenv("PATH"); 
     function(); 
     return 0; 
} 

gdbの下で実行すると、私はこれだ：私はその後、/proc/PID/maps場合は、アドレス0x00007fffffffeb51を見上げ

Program received signal SIGSEGV, Segmentation fault. 
0x00007fffffffeb51 in ??() 
(gdb) 

をして、このような行が見つかりました：

7ffffffde000-7ffffffff000 rw-p 00000000 00:00 0       [stack] 

を

x（実行）ビットが通常見つかる-があります。

Answer 2

実行の間に変数のアドレスを確認できますか？システムがASLRのようなものを使用している場合は、実行ごとに異なることがあります。しかし、argv [1]のアドレスはいくつかのレジスタを介して与えられるかもしれません。したがって、このレジスタを介して間接呼び出しを行う命令のアドレスを返す場合は、プログラムでobjdump -dを使用します。このアドレスが実行可能なページにあると仮定して、どんなアドレスにでもコードを実行します。また、ABIではレジスタを使用してパラメータを渡します。しかし、別の問題があるかもしれません...

もっと詳しく説明してください（おそらく、プログラムの逆アセンブルを含めると）、もっと具体的に答えられるかもしれません。

Answer 3

現代のLinuxディストリビューションは、この種の攻撃に対して強化されています。 NXビットは、たとえば、x86-64のスタックページ用に設定されます。マッピングアドレスはランダム化され、プロセス外から推測する能力が失われます。あなたはいくつかのより多くの作業を行う必要があるとしている近代的なシステムの悪用書きたい場合は、

http://en.wikipedia.org/wiki/Executable_space_protection http://en.wikipedia.org/wiki/Address_space_layout_randomization

基本的には次を参照してください。