Linux Pufferüberlauf Umgebungsvariablen

Question

Ich habe verschiedene Arten von Pufferüberlauf wurde die Überprüfung und lief in ein Problem kann ich mich nicht erinnern, warum es auftritt. Der Code ist wie folgt: das Programm, das ich versucht bin einen Pufferüberlauf führen an:

#include <stdio.h> 

void func(char *buff){ 
    char buffer[5]; 
    strcpy(buffer, buff); 
    printf("%s\n", buffer); 
} 

int main(int argc, char *argv[]){ 
    func(argv[1]); 
    printf("I'm done!\n"); 
    return 0; 
} 

Das Kernkonzept des Programms ist sehr einfach, ich überläuft gerade den Puffer, um die Absenderadresse von func() zu überschreiben. Das alles funktioniert gut, wenn ich ihm eine Adresse wie 0x0804850c gebe, die die <_fini> des Programms ist. Das Endergebnis, wenn ich den Überlauf mit dieser Adresse implementiere, ist das Programm beendet "würdevoll", ohne I'm done! zu drucken. Das Problem, auf das ich jetzt stoße, ist, wenn ich versuche, die Rückkehradresse zu etwas zu sagen, das eine Umgebungsvariable sagt, die bei 0xbfffd89 gelegen ist.

Der Code Shell in diesem speziellen Umgebungsvariable befindet sich einfach das Programm, nachdem sie gesagt hello beenden sollte. Das passiert jedoch nicht, das Programm segelt einfach Fehler und das war's. Es wurde bereits bestätigt, dass der Shell-Code in dem vorherigen Programm funktioniert, das ich zum Testen von Shell-Code geschrieben habe. Jeder hat irgendwelche Ideen, warum das nicht funktioniert. Thx

Answer 1

Umgebungsvariablen werden in einem Speicherbereich befindet, die & Schreibberechtigung gelesen hat aber keine Berechtigung ausführen. Ich wiedergegeben leicht dies wie folgt:

#include <stdio.h> 
#include <stdlib.h> 

int 
main(int argc, char **argv) 
{ 
void (*function)(void); 

     function = (void (*)(void))getenv("PATH"); 
     function(); 
     return 0; 
} 

unter gdb Rennen, habe ich dies:

Program received signal SIGSEGV, Segmentation fault. 
0x00007fffffffeb51 in ??() 
(gdb) 

ich dann 0x00007fffffffeb51 wenn /proc/PID/maps die Adresse nachgeschlagen und fand eine Zeile wie diese:

7ffffffde000-7ffffffff000 rw-p 00000000 00:00 0       [stack] 

Es gibt eine wo das x (Ausführen) Bit normalerweise gefunden würde.

Answer 2

Können Sie bestätigen die Adresse der Variablen zwischen den Läufen? Wenn Ihr System etwas wie ASLR verwendet, kann es bei jedem Lauf anders sein. Die Adresse des argv [1] kann jedoch über ein Register angegeben werden, wenn Sie also die Rücksprungadresse mit der Adresse der indirekten Anweisung über dieses Register angeben (Sie finden diese Anweisung wahrscheinlich unter Verwendung von objdump -d in Ihrem Programm), Es wird Ihren Code unter der Adresse ausführen, die er auch haben wird - vorausgesetzt, diese Adresse befindet sich auf der ausführbaren Seite. Und Register werden in Ihrem ABI verwendet, um Parameter zu übergeben. Es kann weitere Probleme jedoch sein ...

Wenn Sie weitere Informationen zur Verfügung stellen (möglicherweise, insluding Demontage des Programms), vielleicht könnte es speziell beantwortet werden.

Answer 3

Moderne Linux-Distributionen sind gegen diese Art von Angriff gehärtet. Das NX-Bit ist beispielsweise für Stapelseiten auf x86-64 festgelegt. Und Mapping-Adressen sind randomisiert, um die Fähigkeit zu vermeiden, von außerhalb des Prozesses zu erraten. Siehe die folgenden:

http://en.wikipedia.org/wiki/Executable_space_protection http://en.wikipedia.org/wiki/Address_space_layout_randomization

Grundsätzlich, wenn Sie ein Exploit für ein modernes System schreiben wollen Sie gehen zu müssen, etwas mehr Arbeit zu tun.