::黑客领域>>文章中心>>缓冲区溢出解密（二）--::

在上面的图中，变量I 和II是传递给函数的参数。在返回地址和保存ESP之后，var I和II是函数的局部变量。现在，如果我们总结所有我们所讲的，当调用一个函数的时候：

1.我们保存老的堆栈指针，PUSH它到堆栈 2.我们保存下一个指令的地址(返回地址)，PUSH它到堆栈。3.我们开始执行程序指令。

: pushl %ebp

它支持老的指针，并把它压入堆栈。接着，拷贝老的堆栈指针倒ebp寄存器：

0x8048449 : movl %esp,%ebp

因而，从那时起，在函数中，我们将用EBP引用函数的局部变量。这两个指令被称为”程序引入”。接着，我们反序PUSH函数f()的参数到堆栈中。

0x804844b <main+3>:     pushl  $0x3	0x804844d <main+5>:     pushl  $0x2	0x804844f <main+7>:     pushl  $0x1

我们调用这个函数：

0x8048451 : call 0x8048440

如我们已经通过CALL调用解释的那样，我们PUSH指令addl $0xc,%esp的地址0x8048456到堆栈。函数RET调用后，我们加12或者十六进制中的0xc(因为我们推入3个参数到堆栈中，每一个分配了4个字节(整型))。

接着我们离开main()函数，并且返回：

0x8048459 <main+17>:    leave	0x804845a <main+18>:    ret

好，在函数f()内部发生了什么呢？

(gdb) disas fDump of assembler code for function f:0x8048440 <f>:  pushl  %ebp0x8048441 <f+1>:        movl   %esp,%ebp0x8048443 <f+3>:        subl   $0x4,%esp0x8048446 <f+6>:        leave0x8048447 <f+7>:        retEnd of assembler dump.(gdb)

开始两个指令都是一样的。它们是程序引入。接着我们看a：

0x8048443 : subl $0x4,%esp

从ESP减去了4个字节。这是为局部变量z分配空间。记得我们定义它为char z[4]？它是一个4字节的字符数组。最后，在末尾，函数返回：

0x8048446 <f+6>:        leave0x8048447 <f+7>:        ret

好，让我们看另外一个例子：

b.c :void f(int a, int b, int c){        char foo1[6];        char foo2[9];}void main(){        f(1,2,3);}

编译并且启动gdb，解析f：

[murat@victim murat]$ gcc -g b.c -o b[murat@victim murat]$ gdb -q ./b(gdb) disas fDump of assembler code for function f:0x8048440 <f>:  pushl  %ebp0x8048441 <f+1>:        movl   %esp,%ebp0x8048443 <f+3>:        subl   $0x14,%esp0x8048446 <f+6>:        leave0x8048447 <f+7>:        retEnd of assembler dump.(gdb)

可以看出，从ESP中减去了0x14(20字节)，尽管foo1和foo2的总长度只有9+6=15。这样的原因是，内存，还有堆栈，在4字节框架下编址。这意味着，你不能简单的PUSH 1字节数据到堆栈中。或者4字节或者为空。

f()北调用时，堆栈将象这样：

|_______$1_______| EBP+16|_______$2_______| EBP+12|_______$3_______| EBP+8|_return address_| EBP+4|___saved_ESP____| EBP           ESP|______foo1______| EBP-4|______foo1______| EBP-8|______foo2______| EBP-12|______foo2______| EBP-16|______foo2______| EBP-20

你可以相信，当我们对f001装载超过8个字节对和对foo2超过12个字节，我们将溢出他们的空间。如果你对foo1写入超过4个字节，你将重写被保护的EBP，而且……如果你写入超过4个字节，你将重写返回地址……而这不正是我们都想要的吗？这是内存溢出的基础……让我设法用一段简单的代码稍微阐明一下这种现象，假设我们有这样的代码：

c.c :#include <string.h>void f(char *str){        char foo[16];        strcpy(foo, str);}void main(){        char large_one[256];        memset(large_one, 'A', 255);        f(large_one);}[murat@victim murat]$ make ccc -W -Wall -pedantic -g    c.c   -o c[murat@victim murat]$ ./cSegmentation fault (core dumped)[murat@victim murat]$

我们在上面做的是简单的写255字节到一个只能容纳16字节的数组里。我们传递了一个256字节的大数组作为一个参数给f()函数。在函数内部，没有边界检测我们拷贝了整个large_one到foo，溢出了foo和其它数据。因此缓冲区被填写了，同样的strcpy()用A填写了内存的其它部分，包括返回地址。

这里是用gdb生成核文件代码的检查：

[murat@victim murat]$ gdb -q c coreCore was generated by `./c'.Program terminated with signal 11, Segmentation fault.find_solib: Can't read pathname for load map: Input/output error#0  0x41414141 in ?? ()(gdb)

可以看出，CPU在EIP中看到0x41414141(041是字母A的十六进制ASCII码)，试图存储和执行此处的指令。然而，0x41414141不是我们的程序被允许存储的内存地址。最后操作系统发了一个SIGSEGV(Segmentation Violation)段侵犯信号给程序并且停止了任何进一步的操作。

我们调用f()时，堆栈看起来象这样：

|______*str______| EBP+8|_return address_| EBP+4|___saved_ESP____| EBP           ESP|______foo1______| EBP-4|______foo1______| EBP-8|______foo1______| EBP-12|______foo1______| EBP-16

strcpy()从foo1的开头，EBP-16开始，拷贝large_one到foo，没有边界检查，用A填充了整个堆栈。

现在我们能够重写返回地址，如果我们放一些其它的内存段地址，我们能在那里执行指令码？答案是肯定的。假如我们放了一些 /bin/sh spawn出的指令在一些内存地址中，而我们把这个地址放到我们溢出的这个函数返回地址中，我们就能spawn出一个shell，而且很有可能，既然你已经对setuid二进制程序感兴趣了，我们将spawn出一个root shell。