從大二開始真正接觸技術開始，從最早的HTML，PHP，WEB開發。一直以為以后可能會從事開發的工作，碰巧大三上的時候和同專業的郭子，鄒豪參加了南京的一個信息安全技能大賽，才真正找到了興趣的方向，也從懵懵懂懂開始懂了信安怎么學，像海賊王里面一樣，感覺到了新世界了（好吧，我又YY了......）

　　最近參加了ISCC2013的比賽，歷時一個月的過程，雖然過程很辛苦，每天除了吃飯睡覺都在想題目（我不會告訴你我有一題是在睡覺的時候想出來的，做夢夢到單步調試....）。但是感覺收獲頗豐，貌似比以前牛逼了一點點。也因此萌生了要開一個技術博客，寫一點自己原創的東西，算是總結提高吧。

　　在做溢出關第一題的時候，遇到了緩沖區溢出的問題，之前從沒接觸過這東西，匯編也不懂。于是各種查資料，看小甲魚的匯編視頻，總算是把原理搞明白了，希望在這里分享一些關于緩沖區溢出和匯編的基礎知識，小白一個，大神路過不要拍磚啊。

　　首先看一段代碼：

#include<stdio.h>
void why_here(void) /*這個函數沒有任何地方調用過*/
{
　　printf("why u here ?!\n");
　　_exit(0);
}
int main(int argc,char * argv[])
{
　　int buff[1];
　　buff[2]=(int)why_here;
　　return 0;
}

用GCC或者VC編譯運行一下，會發現why_here函數被運行了，地球人都知道這是緩沖區溢出，但是在底層代碼到底發生了什么呢？

原因是是因為錯誤的越界溢出賦值導致了函數返回地址被錯誤的覆蓋了，程序流執行到這里之后不是正常的返回而是執行了被覆蓋的地址。這樣說有點抽象，我們用VC進行debug一下，看看匯編代碼到底做了什么。

發生溢出的C代碼：

6:??? int main(int argc,char * argv[])
7:??? {
00401070?? push??????? ebp
00401071?? mov???????? ebp,esp
00401073?? sub???????? esp,44h
00401076?? push??????? ebx
00401077?? push??????? esi
00401078?? push??????? edi
00401079?? lea???????? edi,[ebp-44h]
0040107C?? mov???????? ecx,11h
00401081?? mov???????? eax,0CCCCCCCCh
00401086?? rep stos??? dword ptr [edi]
8:??????? int buff[1];
9:??????? buff[2]=(int)why_here;
00401088?? mov???????? dword ptr [ebp+4],offset @ILT+5(why_here) (0040100a)
10:?????? return 0;
0040108F?? xor???????? eax,eax
11:?? }
00401091?? pop???????? edi
00401092?? pop???????? esi
00401093?? pop???????? ebx
00401094?? mov???????? esp,ebp
00401096?? pop???????? ebp
00401097?? ret

這兩行是函數調用的常用語句，EBP是基址寄存器，目的是在進入函數前將EBP保護起來，一遍出來的時候可以恢復現場（計算機組成原理上的知識）。

下面這句? sub?? esp,44h 應該就是為新進入的函數預留棧空間。接下來就是經典的三個push為main函數傳參。

............

我們重點看這行代碼：

00401088?? mov???? dword ptr [ebp+4],offset @ILT+5(why_here) (0040100a)

將why_here的函數入口基地址放入[ebp+4]中，這樣看也許看不出什么不妥，我們對比一下正常的情況。

下面是正規規范編寫的C代碼：

#include<stdio.h>
void why_here(void) /*這個函數沒有任何地方調用過*/
{
　　printf("why u here ?!\n");
　　_exit(0);
}
int main(int argc,char * argv[])
{
　　int buff[1];
　　buff[0]=(int)why_here;（因為buff只申請了一個int型，也就是4字節的內存空間，所以只能只能保存一個32位的函數RVA地址）
　　return 0;
}

對應的匯編

6:??? int main(int argc,char * argv[])
7:??? {
00401070?? push??????? ebp
00401071?? mov???????? ebp,esp
00401073?? sub???????? esp,44h
00401076?? push??????? ebx
00401077?? push??????? esi
00401078?? push??????? edi
00401079?? lea???????? edi,[ebp-44h]
0040107C?? mov???????? ecx,11h
00401081?? mov???????? eax,0CCCCCCCCh
00401086?? rep stos??? dword ptr [edi]
8:??????? int buff[1];
9:??????? buff[0]=(int)why_here;
00401088?? mov???????? dword ptr [ebp-4],offset @ILT+5(why_here) (0040100a)
10:?????? return 0;
0040108F?? xor???????? eax,eax
11:?? }
00401091?? pop???????? edi
00401092?? pop???????? esi
00401093?? pop???????? ebx
00401094?? mov???????? esp,ebp
00401096?? pop???????? ebp
00401097?? ret

　　我看到這里的時候就恍然大悟了，嗖嘎斯內。因為溢出賦值覆蓋了EIP（也就是指令寄存器，導致了函數返回后，程序的執行流被改變了）。

這里我們詳細討論一下：

進入main 函數后的棧內容下：
[ eip ][ ebp ][ buff[0] ]
高地址<---- 低地址

　　因為在棧空間中，棧是向下生長的，而賦值是向上生長的。所以正常情況下[ebp-4]的賦值是正常的系統允許的，因為這個空間本來就系統為你分配好了。但是如果我們越界賦值[ebp+4]就會怎么？

　　對！導致了EIP被覆蓋，即發生了緩沖區溢出，可能有朋友要問了，你這么說有什么依據呢？我們還是回到匯編代碼：

00401070?? push??????? ebp
00401071?? mov???????? ebp,esp
00401073?? sub???????? esp,44h
00401076?? push??????? ebx
00401077?? push??????? esi
00401078?? push??????? edi

在開頭的4個push入棧操作對應結尾了4個pop出棧操作。

00401091?? pop???????? edi
00401092?? pop???????? esi
00401093?? pop???????? ebx
00401094?? mov???????? esp,ebp
00401096?? pop???????? ebp

00401097?? ret

EBP被完好的保存了，注意到這里有個匯編指令ret，這是返回的意思，它的原理實質上等于2條匯編指令的組合:

pop EIP

jmp

將棧上的最底下的4字節空間彈棧賦值給EIP，并跳轉到EIP對應的那條指令執行。而這個所謂的棧底的4個空間的內容就是在進入main函數前入棧的，目的是為了等main函數執行完后可以繼續執行main之后的指令，這也就是一般的函數調用的原理（因為這里只有一個main函數，所有有些特殊，不過本質上一樣的）。

而所謂的溢出本質上是我們覆蓋了這段EIP對應的棧空間，然后操作系統就傻乎乎的以為這就是真實的返回地址，pop并執行了，然后就.........所以說童話里都是騙人的

這個程序很簡單，但是第一次分析的時候也花了我不少力氣，以后希望能更多的研究一些原理性的東西，也繼續和大家分享！

最后，希望這次的ISCC能玩的開心

　　

轉載于:https://www.cnblogs.com/LittleHann/archive/2013/05/26/3100165.html

總結

以上是生活随笔為你收集整理的一个简单的缓冲区溢出的思考的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。