从汇编层看64位程序运行——安全的ROP攻击以控制程序执行流程

大纲

《从汇编层看64位程序运行------ROP攻击以控制程序执行流程》一文中,我们介绍了如何使用ROP攻击来修改程序执行流程。但是这个方案存在一个问题,就是《从汇编层看64位程序运行------有惊无险的栈溢出》中所说的,会导致foo回到main函数后,RSP寄存器的值会比正确的大0x08(即栈缩小了0x08)。这是因为整个方案call了一次,ret了两次,即压栈一次,退栈两次。虽然不会导致程序执行出现问题,但是终究是不完美的。

代码

本文我们将介绍一种更简单、更安全的方案。

先看代码,请问程序输出的是0还是1999?

c 复制代码
#include <stdio.h>
#include <string.h>

int foo() {
    return 1999;
}

int foo7(unsigned int a, unsigned int b, unsigned int c, unsigned int d, unsigned int e, unsigned int f, void* g) {
    void* ptr = (void*)&g;
    (void)ptr;
    __asm__("pop %rbp\n\t");
    __asm__("push -0x8(%rbp)\n\t");
    __asm__("push %rbp\n\t");
    return 0;
}

int main() {
    void* g = (void*)&foo;
    int a = foo7(1, 2, 3, 4, 5, 6, g);
    printf("%d", a);
    return 0;
}

main函数中只调用了foo7,它返回的是0。foo7中也没调用foo,更没显式的返回foo的返回值。那么这个程序打印的是0吗?答案是"不是,它输出的是1999"。

这是因为foo7被ROP攻击了,导致其return后进入foo函数。而foo7和foo函数的返回值都是通过rax寄存器传递,于是main函数直接使用了从foo函数退出后的rax的值。这样,程序打印的是1999。

在这个方案中,我们没有对foo函数做任何汇编修改。但是会保证执行流程回到main函数后,rsp、rbp寄存器都是正确的。这是因为我们在foo7函数中,把栈的结构做了修改,模拟了一次push栈的操作。这样一次call、一次push、2次ret,最终栈是平衡的。

分析

我们在调用foo7之前下断点,查看此时rbp、rsp的值。它们分别为:0x7fffffffdf10和0x7fffffffdef8。

然后在call foo7之后下断点,可以看到rbp、rsp的值回到了call之前的状态。所以栈是平衡的。

我们看下foo7的汇编代码

+36行会将rbp寄存器的值从栈中pop出来,然后将foo的地址push到栈中,这样我们就构造了foo7要返回到foo函数中的基本设置。后面又见rbp寄存器的值push到栈中,是为了后续系统自动生成的pop %rbp做准备。

我们没有在foo函数中做修改的原因是:进入foo函数后,它就会拿到rbp寄存器,而此时rbp寄存器是main函数的rbp。这样如果foo中有任何栈上数据的修改,都会影响到main函数的栈帧数据正确性,即溢出了。所以我们将修改逻辑的代码放在foo7函数中。

相关推荐
似水এ᭄往昔11 小时前
【C语言】文件操作
c语言·开发语言
矿渣渣12 小时前
RM Cortex-A7 架构中“SEV”汇编指令解析
汇编·架构
蒙奇D索大12 小时前
【数据结构】第六章启航:图论入门——从零掌握有向图、无向图与简单图
c语言·数据结构·考研·改行学it
烂蜻蜓13 小时前
C 语言中的递归:概念、应用与实例解析
c语言·数据结构·算法
javaisC15 小时前
c语言数据结构--------拓扑排序和逆拓扑排序(Kahn算法和DFS算法实现)
c语言·算法·深度优先
小郝 小郝16 小时前
【C语言】strstr查找字符串函数
c语言·开发语言
Dovis(誓平步青云)18 小时前
【数据结构】排序算法(中篇)·处理大数据的精妙
c语言·数据结构·算法·排序算法·学习方法
nuo53420218 小时前
黑马 C++ 学习笔记
c语言·c++·笔记·学习
电星托马斯1 天前
C++中顺序容器vector、list和deque的使用方法
linux·c语言·c++·windows·笔记·学习·程序人生
march_birds1 天前
FreeRTOS 与 RT-Thread 事件组对比分析
c语言·单片机·算法·系统架构