缓冲区溢出小程序分析 – 作者:Gcow安全团队

首先来看看C语言溢出小程序

 

这个程序看着好像是没有任何问题，运行是这样的：

 

我们主要关注这个check函数，首先定义了一个int类型的数组且其中个数为8个，下一行将fun函数地址存入arr[9]中，其实这里我们可以看到定义数组的时候个数也就是8，实际到达的下标是7，所以我们最多能取数组的值为arr[7]，连8都不到，这里我们获取fun函数地址的时候却存到了下标为9的地址，跳了一个下标。首先来了解下数组的存储方式

                                        高地址                                                                                                低地址

这是我简单画的数组存储的堆栈图，数组是使用连续的内存空间来存储的，说白了和局部变量的存储差异不大，我们现在开始分析代码：

 

现在我们记住ebp和esp的值

 

现在我们来把这个堆栈图画一下

这里按F11进入函数体中，call进函数会将它下一行地址压入栈中，然后调到函数体，这时再来看看堆栈的变化：

 

接着往下走，我们看看函数体中的代码：

 

进入函数后将ebp压入栈中，然后将esp中的值移动到ebp中，之后esp-60h（60h/4h=18h=24）提升栈空间，再来看看此时的堆栈：

 

接下来将ebx，esi，edi依次推入栈中，下面的代码到rep指令是将缓冲区填充为CCCCCCCCCh，再来看看堆栈的变化：

 

接着往下走

这里是将数组存到缓冲区中，从低地址向高地址存储，20h/4h=8h=8从esp的位置向上数八格就是存储1的位置，依次存储下来，再来看看栈中的变化：

 

 

这里是取fun的地址出来并转换为int类型，然后存入数组下标为9的地方，我们看看ebp+4这个地址执行前后的变化

 

执行前

 

执行后

 

经过这个对比之后，ebp+4刚好是这个存储返回地址的地方，我们继续往下走

 

异或eax之后，依次取出edi,esi,ebx，然后将ebp的值移动到esp中，随后取出ebp，再来看看堆栈变化：

 

上面的操作是使堆栈平衡，接着来看

 

接着执行了一个ret，ret的操作相当于push eip，F11一下，看看eip

 

 

 

就这样进入了fun函数

 

 

本次分析就是分析缓冲区都溢出了为何还能执行fun函数，到这里我们可以知道溢出之后覆盖掉了程序的返回地址，所以导致程序进入了fun函数中。溢出并不可怕，可怕的是不会调试啊！

 

来源：freebuf.com 2020-02-02 20:11:19 by: Gcow安全团队