_CC++漏洞_栈溢出利用.pptVIP

安全性编程方法 第4讲 栈溢出利用 4.1 系统栈的工作原理 栈与系统栈的区别: 栈:数据结构角度的栈,是一种先进后出的数据表. 常见操作 PUSH 进栈 POP 出栈 栈的属性 TOP 栈顶 BASE 栈底 系统栈:内存的栈区 透明性概念 对于C语言这样的高级语言，系统栈的PUSH，POP等堆栈平衡细节是透明的。 一般说来，只有在使用汇编语言开发程序的时候，才需要和它直接打交道。 计算机中透明性概念: 计算机中存在,但对于开发人员不需要了解的东西. 高级语言写出的程序经过编译链接，最终会变成PE文件。当PE文件被装载运行后，就成了所谓的进程。 如下图所示: 系统栈与函数调用 #include stdafx.h int func_B ( int arg_B1 , int arg_B2 ) { int var_B1 , var_B2 ; var_B1 = arg_B1 + arg_B2 ; var_B2 = arg_B1 - arg_B2 ; return var_B1 * var_B2 ; } int func_A ( int arg_A1 , int arg_A2 ) { int var_A ; var_A = func_B ( arg_A1 , arg_A2 ) + arg_A1 ; return var_A ; } int main ( int argc , char ** argv , char ** envp ) { int var_main ; var_main = func_A ( 4 , 3 ); printf(var_main is %d\n,var_main); return var_main ; } 栈帧 当函数被调用时，系统栈会为这个函数开辟一个新的栈帧，并把它压入栈中。 当函数返回时，系统栈会弹出该函数所对应的栈帧。 调用时栈中的操作 在main函数调用func_A的时候，首先在自己的栈帧中压入函数返回地址，然后为func_A创建新栈帧并压入系统栈 ?在func_A调用func_B的时候，同样先在自己的栈帧中压入函数返回地址，然后为func_B创建新栈帧并压入系统栈 在func_B返回时，func_B的栈帧被弹出系统栈，func_A栈帧中的返回地址被“露”在栈顶，此时处理器按照这个返回地址重新跳到func_A代码区中执行 在func_A返回时，func_A的栈帧被弹出系统栈，main函数栈帧中的返回地址被“露”在栈顶，此时处理器按照这个返回地址跳到main函数代码区中执行 寄存器与函数栈帧 WIN32系统提供两个特殊的寄存器用于标识位于系统栈栈顶的栈帧： ESP: ( extended?stack?pointer ) 栈指针寄存器，指向系统栈最上面一个栈帧的栈顶 EBP: ( extended?base?pointer ) 基址指针寄存器，指向系统栈最上面一个栈帧的底部 函数栈帧：ESP和EBP之间的内存空间为当前栈帧。 另一个重要的寄存器 EIP： ( extended?instruction?pointer ) 指令寄存器 ，指向下一条待执行的指令地址 函数调用约定与相关指令 Visual C++默认的参数入栈顺序是: 右 ---- 左 函数调用的步骤 参数入栈：将参数从右向左依次压入系统栈中 返回地址入栈：将当前代码区调用指令的下一条指令地址压入栈中，供函数返回时继续执行 代码区跳转：处理器从当前代码区跳转到被调用函数的入口处 栈帧调整：具体包括: 保存当前栈帧状态值，以备后面恢复本栈帧时使用（EBP入栈） 将当前栈帧切换到新栈帧（将ESP值装入EBP，更新栈帧底部） 给新栈帧分配空间（把ESP减去所需空间的大小，抬高栈顶） 函数调用时的指令序列 ; 调用前 push?参数 3 //假设函数有 3 个参数，将从右向左依次入栈 push?参数 2 push?参数 1 call?函数地址?? //call指令将同时完成两项工作： a）向栈中压入当前指令在内存中的位置, 即保存返回地址； b）跳转到所调用函数的入口地址函数入口处 push?ebp?????? ;? 保存旧栈帧的底部 mov?ebp，esp???? ;? 设置新栈帧的底部（栈帧切换） sub?esp，xxx???? ;? 设置新栈帧的顶部（抬高栈顶，为新栈帧开辟空间） 例题 #include stdafx.h void fun(int a,int b) { int c=a+b; } void main() { fun(1,2); } 反汇编 VC++里如何反汇编？ 1.先在程序中设置断点(F9) 2.调试（F5） 3.用以下三种方法进入反