Вызов переполнения буфера с помощью fgets

Я экспериментирую с переполнением буфера и пытаюсь перезаписать обратный адрес стека с определенным входом fgets

При нормальном выполнении программа просто возвращает ваш ввод. Я хочу, чтобы он выводил foo() без изменения кода.

Моя идея состояла в том, чтобы переполнить буфер buf, введя 20 'A' s. Это работает и вызывает ошибку сегментации. Моя следующая идея заключалась в том, чтобы узнать адрес foo(), который является \x4006cd, и добавить его к 20 'A' s.

Из моего понимания это должно перезаписать обратный адрес стека и заставить его перейти на foo. Но это вызывает только segfault.

Ответы

Ответ 1

Вы не рассчитывали с помощью памяти. Я изменил код на бит, чтобы упростить поиск нужного места.

#include <stdlib.h>
#include <stdio.h>
#include <string.h>

int **x;
int z;

void foo()
{
    fprintf(stderr, "You did it.\n");
}

void bar()
{
    char buf[2];
    //puts("Input:");
    //fgets(buf, 70, stdin);
    x = (int**) buf;
    for(z=0;z<8;z++)
            printf("%d X=%x\n", z, *(x+z));
    *(x+3) = foo;
    printf("Your input: %d %s\n", strlen(buf), buf);
}


int main(int argc, char **argv)
{
        printf("Foo: %x\n", foo);
        printf("Main: %x\n", main);
        bar();
        return 0;
}

С меньшим буфером 2 в моем примере я нашел адрес возврата на 24 байта (x + 3, для 8-байтовых указателей, 64 бита, без отладки, без оптимизации...) с начала буфера. Эта позиция может меняться в зависимости от размера буфера, архитектуры и т.д. В этом примере мне удаётся изменить адрес возврата в foo. В любом случае вы получите ошибку сегментации при возврате foo, так как он не был правильно настроен для возврата к основному.

Я добавил x и z в качестве глобальных vars, чтобы не изменять размер стека в баре. Код отобразит массив значений типа указателя, начиная с buf [0]. В моем случае я нашел адрес в основном в позиции 3. Именно поэтому окончательный код имеет * (x + 3) = foo. Как я уже сказал, эта позиция может меняться в зависимости от параметров компиляции, машины и т.д. Чтобы найти правильную позицию, найдите адрес основного (напечатанный перед панелью вызовов) в списке адресов.

Важно отметить, что я сказал адрес в основном, а не адрес основного, поскольку адрес возврата был установлен в строку после вызова в бар, а не в начало основного. Итак, в моем случае это был 0x4006af вместо 0x400668.

В вашем примере с 20-байтовым буфером, насколько мне известно, он был выровнен с 32 байтами (0x20).

Если вы хотите сделать то же самое с fgets, вам нужно выяснить, как ввести адрес foo, но если вы используете машину x86/x64, не забудьте добавить его в маленький enddian. Вы можете изменить код для отображения байтов значений на каждый байт, чтобы вы могли получить их в правильном порядке и ввести их с помощью номера ALT+. Помните, что цифры, которые вы вводите, удерживая ALT, являются десятичными числами. Некоторые терминалы не будут дружественными для обработки 0x00.

Мой вывод выглядит так:

$ gcc test.c -o test
test.c: In function ‘bar’:
test.c:21: warning: assignment from incompatible pointer type
$ ./test
Foo: 400594
Main: 400668
0 X=9560e9f0
1 X=95821188
2 X=889350f0
3 X=4006af
4 X=889351d8
5 X=0
6 X=0
7 X=95a1ed1d
Your input: 5 ▒▒`▒9
You did it.
Segmentation fault

Ответ 2

void bar()
{
    char buf[20];
    puts("Input:");
    fgets(buf, 24, stdin);
    printf("Your input:.\n", strlen(buf));
}
... Это работает и вызывает ошибку сегментации...

Компилятор, вероятно, заменяет fgets более безопасным вариантом, который включает проверку размера целевого буфера. Если проверка завершается неудачно, программа безоговорочно вызывает abort().

В этом конкретном случае вы должны скомпилировать программу с помощью -U_FORTIFY_SOURCE или -D_FORTIFY_SOURCE=0.