从汇编层看64位程序运行——安全的ROP攻击以控制程序执行流程

大纲

《从汇编层看64位程序运行------ROP攻击以控制程序执行流程》一文中,我们介绍了如何使用ROP攻击来修改程序执行流程。但是这个方案存在一个问题,就是《从汇编层看64位程序运行------有惊无险的栈溢出》中所说的,会导致foo回到main函数后,RSP寄存器的值会比正确的大0x08(即栈缩小了0x08)。这是因为整个方案call了一次,ret了两次,即压栈一次,退栈两次。虽然不会导致程序执行出现问题,但是终究是不完美的。

代码

本文我们将介绍一种更简单、更安全的方案。

先看代码,请问程序输出的是0还是1999?

c 复制代码
#include <stdio.h>
#include <string.h>

int foo() {
    return 1999;
}

int foo7(unsigned int a, unsigned int b, unsigned int c, unsigned int d, unsigned int e, unsigned int f, void* g) {
    void* ptr = (void*)&g;
    (void)ptr;
    __asm__("pop %rbp\n\t");
    __asm__("push -0x8(%rbp)\n\t");
    __asm__("push %rbp\n\t");
    return 0;
}

int main() {
    void* g = (void*)&foo;
    int a = foo7(1, 2, 3, 4, 5, 6, g);
    printf("%d", a);
    return 0;
}

main函数中只调用了foo7,它返回的是0。foo7中也没调用foo,更没显式的返回foo的返回值。那么这个程序打印的是0吗?答案是"不是,它输出的是1999"。

这是因为foo7被ROP攻击了,导致其return后进入foo函数。而foo7和foo函数的返回值都是通过rax寄存器传递,于是main函数直接使用了从foo函数退出后的rax的值。这样,程序打印的是1999。

在这个方案中,我们没有对foo函数做任何汇编修改。但是会保证执行流程回到main函数后,rsp、rbp寄存器都是正确的。这是因为我们在foo7函数中,把栈的结构做了修改,模拟了一次push栈的操作。这样一次call、一次push、2次ret,最终栈是平衡的。

分析

我们在调用foo7之前下断点,查看此时rbp、rsp的值。它们分别为:0x7fffffffdf10和0x7fffffffdef8。

然后在call foo7之后下断点,可以看到rbp、rsp的值回到了call之前的状态。所以栈是平衡的。

我们看下foo7的汇编代码

+36行会将rbp寄存器的值从栈中pop出来,然后将foo的地址push到栈中,这样我们就构造了foo7要返回到foo函数中的基本设置。后面又见rbp寄存器的值push到栈中,是为了后续系统自动生成的pop %rbp做准备。

我们没有在foo函数中做修改的原因是:进入foo函数后,它就会拿到rbp寄存器,而此时rbp寄存器是main函数的rbp。这样如果foo中有任何栈上数据的修改,都会影响到main函数的栈帧数据正确性,即溢出了。所以我们将修改逻辑的代码放在foo7函数中。

相关推荐
ChuHsiang1 小时前
【C语言学习】实现游戏——三子棋
c语言
L_autinue_Star4 小时前
手写vector容器:C++模板实战指南(从0到1掌握泛型编程)
java·c语言·开发语言·c++·学习·stl
怀旧,4 小时前
【数据结构】8. 二叉树
c语言·数据结构·算法
凤年徐5 小时前
【数据结构与算法】203.移除链表元素(LeetCode)图文详解
c语言·开发语言·数据结构·算法·leetcode·链表·刷题
学废了wuwu6 小时前
深度学习归一化方法维度参数详解(C/H/W/D完全解析)
c语言·人工智能·深度学习
无小道6 小时前
c++--typedef和#define的用法及区别
c语言·开发语言·汇编·c++
敲上瘾7 小时前
传输层协议UDP原理
linux·c语言·网络·网络协议·udp
小林C语言8 小时前
C语言 | 文件读写检测
c语言
c7_ln9 小时前
MYSQL C_API使用全解
c语言·数据库·mysql
秋说17 小时前
【PTA数据结构 | C语言版】一元多项式求导
c语言·数据结构·算法