非安全编程演示之格式化字符串篇version1.1 上

译者注：
本文由Core Security发布，通过gera的Insecure Programming中的5个例子说明格式化字符串漏洞。alert7前辈曾经由这5个例子写了《非安全编程演示之格式化字符串篇》，所以我也就使用了同样的名字。翻译中的错误之处还请各位高手斧正。

简介

在这篇文章中，Core Security将展示c语言程序中程序员常犯的一些错误。通过gera举的5个例子来说明format string（格式化字符串）这类型的问题。我们将确切指出程序中的bug，并将阐述这种错误为什么是危险的，并针对每一个例子都将有一个exploit。在这篇文章中，测试的平台是 Linux Slackware 8.0 server（IA32），编译器是 GNU GCC 2.95.3：

user@CoreLabs:~$ uname -a
Linux CoreLabs 2.4.5 #31 SMP Sat Mar 2 03:04:23 EET 2002 i586 unknown

user@CoreLabs:~$ gcc -v
Reading specs from /usr/lib/gcc-lib/i386-slackware-linux/2.95.3/specs
gcc version 2.95.3 20010315 (release)

user@CoreLabs:~$ cat /proc/cpuinfo
processor : 0
vendor_id : GenuineIntel
cpu family : 5
model : 2
model name : Pentium 75 - 200

user@CoreLabs:~$

我们假设读者有c编程经验，并且有stack overflow，format string，GOT等的基础知识。在
本文中将不再一一赘述这些溢出的原理。如果不熟悉，请阅读文末的参考里的文章。

这篇文章以后的更新版本里也许会包括其他平台上的format string信息，大家可以在
www.core-sec.com下载到最新版本。

有任何问题，请联系：info@core-sec.com

fs1.c分析

这个例子的代码如下
/* fs1.c *
* specially crafted to feed your brain by gera@core-sdi.com */

/* Don't forget, *
* more is less, *
* here's a proof */

int main(int argv,char **argc) {
short int zero=0;
int *plen=(int*)malloc(sizeof(int));
char buf[256];

// The next line is added by Core Security to ease exploitation.
printf("%p\n", &zero);

strcpy(buf,argc[1]);
printf("%s%hn\n",buf,plen);
while(zero);
}

这个例子没有离奇的地方。下面是printf()的man page中所说：

n The number of characters written so far is stored into the
integer indicated by the int * (or variant) pointer argument. No
argument is converted.

h A following integer conversion corresponds to a short int or
unsigned short int argument, or a following n conversion corresponds
to a pointer to a short int argument.
（译者注：%n在格式化中的意思是将显示内容的长度输出到一个变量中去。%h的意思
是把后面对应的内容转换为short int型）

如果攻击者提供260 bytes长的参数，最后四个字节将覆盖指针*plen。当接下来执行
printf()时，将会在*plen（这个值由攻击者控制）所指向的内存中写入一些字符。然而，
由于format string中的h，攻击者将只能写两个字节（short write---由于h的转换）到这个内存
地址。如果提供的参数大于260字节，那么将会覆盖zero，这个例子的程序将进入死循环。

_________________________
shellcode addr \
shellcode addr \
65276 bytes
shellcode addr /
shellcode addr /
-------------------------\
zero address 4 bytes
------------------------ /

[1] [2] [3] [4] 下一页

复制本页网址和标题，发送给你QQ/Msn的好友一起分享

上一篇:Thebat!139脱壳详情及对Asprotect加壳保护的一点小结

下一篇:怎样脱pklite32， Shrinker 3.4 和 NeoLite加的壳（1）