缓冲区溢出攻击的原理_缓冲区溢出拿服务器_缓冲区溢出攻击(3)

这样，当CarelessPapa函数返回时，修改后的返回地址从栈中弹出到EIP寄存器中，此时栈顶指针ESP指向返回地址上方的空间(esp+4)，程序跳转到EIP所指地址(NaughtyBoy函数入口)开始执行，首先就是EBP入栈——并未像正常调用那样先压入返回地址，故NaughtyBoy函数栈帧中EBP位置相对CarelessPapa函数上移4个字节！此时，"\x23\x85\x4\x8"可将EBP上方的EIP修改为CarelessPapa函数的返回地址(0x8048523)，从而保证正确返回main函数内。

注意，返回main函数并输出Come Home后，main函数栈帧的EBP地址被改为0x42413938("89AB")，该地址已非堆栈空间，最终产生段错误。EBP地址会随每次程序执行而改变，故试图在szArr字符串中恢复EBP是非常困难的。

从main函数return时将返回到调用它的启动例程(_start函数)中，返回值被启动例程获得并用其作为参数调用exit函数。exit函数首先做一些清理工作，然后调用_exit系统调用终止进程。main函数的返回值最终传给_exit系统调用，成为进程的退出状态。以下代码在main函数中直接调用exit函数终止进程而不返回到启动例程：

编译运行结果如下：

这次没有重复执行，也未出现段错误。

防范缓冲区溢出问题的准则是：确保做边界检查(通常不必担心影响程序效率)。不要为接收数据预留相对过小的缓冲区，大的数组应通过malloc/new分配堆空间来解决；在将数据读入或复制到目标缓冲区前，检查数据长度是否超过缓冲区空间。缓冲区溢出攻击同样，检查以确保不会将过大的数据传递给别的程序，尤其是第三方COTS(Commercial-off-the-shelf)商用软件库——不要设想关于其他人软件行为的任何事情。

若有可能，改用具备防止缓冲区溢出内置机制的高级语言(Java、C#等)。但许多语言依赖于C库，或具有关闭该保护特性的机制(为速度而牺牲安全性)。其次，可以借助某些底层系统机制或检测工具(如对C数组进行边界检查的编译器)。许多操作系统(包括Linux和Solaris)提供非可执行堆栈补丁，但该方式不适于这种情况：攻击者利用堆栈溢出使程序跳转到放置在堆上的执行代码。此外，存在一些侦测和去除缓冲区溢出漏洞的静态工具(检查代码但并不运行)和动态工具(执行代码以确定行为)，甚至采用grep命令自动搜索源代码中每个有问题函数的实例。

但即使采用这些保护手段，程序员自身也可能犯其他许多错误，从而引入缺陷。例如，当使用有符号数存储缓冲区长度或某个待读取内容长度时，攻击者可将其变为负值，从而使该长度被解释为很大的正值。经验丰富的程序员还容易过于自信地"把玩"某些危险的库函数，如对其添加自己总结编写的检查，或错误地推论出使用潜在危险的函数在某些特殊情况下是"安全"的。

本节将主要讨论一些已被证明危险的C库函数。通过在C/C++程序中禁用或慎用危险的函数，可有效降低在代码中引入安全漏洞的可能性。在考虑性能和可移植性的前提下，强烈建议在开发过程中使用相应的安全函数来替代危险的库函数调用。

以下分析某些危险的库函数，较完整的列表参见表3-1。

1. gets

该函数从标准输入读入用户输入的一行文本，在遇到EOF字符或换行字符前，不会停止读入文本。即该函数不执行越界检查，故几乎总有可能使任何缓冲区溢出(应禁用)。

gcc编译器下会对gets调用发出警告(the `gets' function is dangerous and should not be used)。

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-30832-3.html