前往小程序,Get更优阅读体验!
立即前往
首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >Linux防止stack缓冲区溢出的有效方法

Linux防止stack缓冲区溢出的有效方法

作者头像
Linux阅码场
发布2020-05-19 17:29:53
1.6K0
发布2020-05-19 17:29:53
举报
文章被收录于专栏:LINUX阅码场

检测和防治stack缓冲区溢出的方法可谓是汗牛充栋,如果讲起来,那便是一个系列,我也不知道该从何说起。比如说stack-protector选项,我之前就介绍过:

https://blog.csdn.net/dog250/article/details/90735908

然而,总觉得有点纸上谈兵的意思。为什么我会这么说?

因为这玩意儿大家都懂,想破解还是很容易的,只需要破解FS:0x28即可,然后就一泻千里了,我把guard保留,实际上里面已经糜烂…

若攻若防,都要出其不意,当然了,这里有一个比较直接的方案:

  • 每一次函数调用均使用 __builtin_return_address(0) 作为最后一个参数,函数的最后检测8(%rbp)的值和它是否相等。

这种方法可行,姑且不谈__builtin_return_address需要绝对地址转换,单凭可操作性,这种方法绝不优雅!

有没有什么办法,不需要程序做任何改变,就能做到检测stack缓冲区溢出呢?

当然有!在编译过程中添加stub即可!

只需要为每一个函数调用的开头和结尾加两段修饰即可:

  • 开头在代码执行前的第一时间保存rbp下面的return address到fs寄存器0x28偏移处。
  • 函数返回前最后一刻检查rbp下面的return address和fs寄存器0x28偏移处值是否相等。
  • …[其实fs寄存器还有很多偏移没有用到,为啥非要瞄准0x28,因为我想替掉stack protector]

我无心修改Linux的gcc编译器,我也无力修改,所以我这里只能演示,下面是一个代码:

代码语言:javascript
复制
#include <stdio.h>
#include <stdlib.h>

unsigned long orig;

void stub_func()
{
  printf("stub\n");
  exit(0);
}

int i;
void func(int n, void *addr)
{
  // tailler stub 编译器添加这段即可,在push %rbp之后。
  // 因为我这是在内联汇编,无力修改编译器行为,所以假装一下,实际上写成8(%rbp)
  asm ("mov 8(%%rbp), %%r11\n\t"
     "mov %%r11, %%fs:0x28 \n\t"
    :
    :
    :);

  // 开始正常的函数流程
  unsigned long *p;

  // 以某种方式造成可悲的缓冲区溢出,这里采用最简单的方法。
  // 以这种"主动"的方式进行缓冲区溢出,并不意味着它是可用的,这里仅仅是先造成效果
  p = (unsigned long *)&p;
  *(p + 2) = (unsigned long)stub_func;

  // tailler stub 编译器在函数最后的ret指令前添加这段,由于我无力改变编译器,
  // 所以我只能假装一下,实际上从8(%%rbp)取值。
  asm ("mov 8(%%rbp), %%r11 \n\t"
     "mov %%fs:0x28, %%r13\n\t"
     "cmp %%r11, %%r13\n\t"
     "je label\n\t"
     "mov %%r13, 8(%%rbp) \n\t"
     "label:"
    :
    :
    :);
}

int main()
{
  orig = (void *)stub_func;
  func(2, __builtin_return_address(0));
  printf("function return\n");
  return 0;
}

我在func函数中主动制造了一个控制权转移:

代码语言:javascript
复制
*(p + 2) = (unsigned long)stub_func;

如果不加那两段stub,很显然,控制流程将转入到别处:

代码语言:javascript
复制
[root@localhost test]# ./a.out
stub

然而,这两段stub成功保护了stack按照原有逻辑继续下去:

代码语言:javascript
复制
[root@localhost test]# ./a.out
function return

当然了,在发生了这种情况的时候,至少要记录一条日志:

代码语言:javascript
复制
#include <stdio.h>
#include <stdlib.h>

unsigned long orig;

void stub_func()
{
  printf("stub\n");
  exit(0);
}

void log()
{
  printf("shabi\n");
}

int i;
void func(int n, void *addr)
{
  // tailler stub
  asm ("mov 8(%%rbp), %%r11\n\t"
     "mov %%r11, %%fs:0x28 \n\t"
    :
    :
    :);

  unsigned long *p;

  // 以某种方式造成可悲的缓冲区溢出,这里采用最简单的方法。
  // 以这种"主动"的方式进行缓冲区溢出,并不意味着它是可用的,这里仅仅是先造成效果
  p = (unsigned long *)&p;
  *(p + 2) = (unsigned long)stub_func;

  // tailler stub
  asm ("mov 8(%%rbp), %%r11 \n\t"
     "mov %%fs:0x28, %%r13\n\t"
     "cmp %%r11, %%r13\n\t"
     "je label\n\t"
     "call log \n\t"
     "mov %%r13, 8(%%rbp) \n\t"
     "label:"
    :
    :
    :);
}

int main()
{
  orig = (void *)stub_func;
  func(2, __builtin_return_address(0));
  printf("function return\n");
  return 0;
}

执行一下试试看:

代码语言:javascript
复制
[root@localhost test]# ./a.out
shabi
function return
[root@localhost test]#

你可能记得__stack_chk_failed函数,我觉得这个机制不妥,因为我曾经成功绕过了它,所以就我个人而言,我忘掉了它。

记住两件套:

代码语言:javascript
复制
// 开头:
asm ("mov 8(%%rbp), %%r11\n\t"
   "mov %%r11, %%fs:0x28 \n\t"
  :
  :
  :);


// 结尾  
asm ("mov 8(%%rbp), %%r11 \n\t"
   "mov %%fs:0x28, %%r13\n\t"
   "cmp %%r11, %%r13\n\t"
   "je label\n\t"
   "call log \n\t"
   "mov %%r13, 8(%%rbp) \n\t"
   "label:"
  :
  :
  :);

至于当前栈帧的return address保存在哪里,我觉得要区分用户态和内核态。若是用户态,那就放在FS寄存器索引的固定偏移处,若是内核态,per cpu变量再好不过了,毕竟一个CPU同时只能处在一个栈帧。

版权声明:本文为CSDN博主「dog250」的原创文章,遵循 CC 4.0 BY-SA 版权协议,转载请附上原文出处链接及本声明。

原文链接:

https://blog.csdn.net/dog250/java/article/details/105611497

(END)

本文参与 腾讯云自媒体同步曝光计划,分享自微信公众号。
原始发表:2020-05-13,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 Linux阅码场 微信公众号,前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
目录
  • (END)
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档