转自：http://blog.csdn.net/wangxiaolong_china/article/details/6844415

转载请注明出处：http://blog.csdn.net/wangxiaolong_china

1.1    Linux栈溢出保护机制

基本的栈溢出攻击，是最早产生的一种缓冲区溢出攻击方法，它是所有其他缓冲区溢出攻击的基础。但是，由于这种攻击方法产生的时间比较长，故而GCC编译器、Linux操作系统提供了一些机制来阻止这种攻击方法对系统产生危害。下面首先了解一下现有的用于保护堆栈的机制以及关闭相应保护机制的方法，为进一步分析基本栈溢出提供了良好的实验环境。

1.       内存地址随机化机制

在Ubuntu和其他基于linux内核的系统中，目前都采用内存地址随机化的机制来初始化堆栈，这将会使得猜测具体的内存地址变得十分困难。

关闭内存地址随机化机制的方法是：

sysctl –w kernel.randomize_va_space=0

2.       可执行程序的屏蔽保护机制

对于Federal系统，默认会执行可执行程序的屏蔽保护机制，该机制不允许执行存储在栈中的代码，这会使得缓冲区溢出攻击变得无效。而Ubuntu系统中默认没有采用这种机制。

关闭可执行程序的屏蔽保护机制的方法是：

sysctl –w kernel.exec-shield=0

3.       gcc编译器gs验证码机制

gcc编译器专门为防止缓冲区溢出而采取的保护措施，具体方法是gcc首先在缓冲区被写入之前在buf的结束地址之后返回地址之前放入随机的gs验证码，并在缓冲区写入操作结束时检验该值。通常缓冲区溢出会从低地址到高地址覆写内存，所以如果要覆写返回地址，则需要覆写该gs验证码。这样就可以通过比较写入前和写入后gs验证码的数据，判断是否产生溢出。

关闭gcc编译器gs验证码机制的方法是：

在gcc编译时采用-fno-stack-protector选项。

4.       ld链接器堆栈段不可执行机制

ld链接器在链接程序的时候，如果所有的.o文件的堆栈段都标记为不可执行，那么整个库的堆栈段才会被标记为不可执行；相反，即使只有一个.0文件的堆栈段被标记为可执行，那么整个库的堆栈段将被标记为可执行。检查堆栈段可执行性的方法是：

如果是检查ELF库：readelf -lW $BIN | grep GNU_STACK查看是否有E标记

如果是检查生成的.o文件：scanelf -e $BIN查看是否有X标记

ld链接器如果将堆栈段标记为不可执行，即使控制了eip产生了跳转，依然会产生段错误。

关闭ld链接器不可执行机制的方法是：

在gcc编译时采用-z execstack选项。

1.1   基本栈溢出攻击原理及实验

下面，将用一个栈溢出攻击的例子的方式，来详细的讲解基本的栈溢出攻击的详细方法步骤。

在进行试验之前，先利用上面讲解的方法，将相应的栈保护机制关闭掉。

代码如下：

编译源码：

用gdb调试该程序：

此时在调用strcpy之前，main函数栈帧结构分析如下图所示：

根据此时的栈帧分布可知，要想控制eip的值，就必须往buffer[500]中至少填入508B的内容。

接下来我们继续用gdb调试：

往buffer中填入508个字符的内容，程序正常结束并退出。这说明栈并没有溢出，填入数据量太少。可是，正如上文中我们分析的那样，程序理论上栈溢出确实需要508个字符就可以了。问题出在哪里呢？重新分析代码和反汇编之后的代码，我们不难发现，问题产生的原因在于“0x080483c7 <+3>:       and    $0xfffffff0,%esp”这条语句。下面我们将继续用gdb调试，分析一下该语句如何影响我们的溢出的。

通过调试可以看到，在执行“0x080483c7 <+3>: and    $0xfffffff0,%esp”语句之前，esp的值是“0xbffff1b8”，在执行完该语句之后，esp的值是“0xbffff1b0”。故esp的值减少了8，也就是说，要想控制eip的值，还需要多填入8个字，即需要516个字符来填充buffer。

可以看到溢出成功！

下面我们用gdb调试，看一些溢出的过程，具体分析就不写了，相信熟悉gdb的话对这些调试信息会一目了然的：

既然我们已经找到eip返回地址的位置，那么就可以覆写返回地址，控制程序的执行流程。

接下来，首先需要一段shellcode，关于如何编写shellcode的问题，我们留到下一节讲解，这一节中我们使用一个从网上找到的shellcode生成程序来生成一段shellcode。Shellcode生成程序源码为：

使用方法是：

现在，提供一种填充buffer覆写返回地址的方案（不唯一，只提供一种可行的方案）：

#################################################################

“\x90” * 431  +  shellcode(45) +  shellcode地址(4字节) * 10  ==  516B

#################################################################

其中，“\x90”代表NOP空指令，故shellcode地址可以替换为自buffer起始地址和shellcode起始地址之间的任意一个地址。

到目前为止，我们已经构造出了我们的溢出代码，如下：

可以看到，我们的溢出代码成功的执行了shellcode，并获得了相应的shell。

到此为止，栈溢出攻击成功。

附：由于%gs验证码的存在，在开启%gs校验时，上面的方案只能在gdb调试环境下成功完成栈溢出。