Windows栈溢出原理

1.栈是什么？

栈是一种运算受限的线性表

其限制是仅允许在表的一端进行插入和删除运算

这一端称为栈顶(TOP)，相对的另一端称为栈底(BASE)

向一个栈插入新元素，称作进栈、入栈或压栈(PUSH)

它是把新元素放到栈顶元素的上边，使之成为新的栈顶元素；

从一个栈删除元素，又称出栈或退栈(POP)

它是把栈顶元素删除掉，使其相邻的元素成为新的栈顶元素

进程使用的内存可以分成4个部分

代码区：存储二进制机器码，存储器在这里取指令

数据区：用于存储全局变量

堆区：动态分配和全局变量

栈区：动态存储函数间的调用关系，保证被调用函数返回时恢复到母函数中继续运行

寄存器与函数栈帧

ESP：栈顶指针寄存器，永远指向系统栈顶

EBP：基址指针寄存器，永远指向系统栈最上边一个栈的栈底

ESP和EBP之间的内存空间为当前栈帧

2.栈的溢出

栈溢出是由于C语言系列没有内置检查机制来确保复制到缓冲区的数据不得大于缓冲区的大小

因此当这个数据足够大的时候，将会溢出缓冲区的范围

3.如何利用

通过程序的缓冲区写超出其长度的内容，造成缓冲区的溢出，

从而破坏程序的堆栈，使程序转而执行其它指令，以达到攻击的目的

造成缓冲区溢出的原因是程序中没有仔细检查用户输入的参数

覆盖邻接变量

例如buffer大小是8字节

输入8个字符，加上字符串截断字符NULL字符，即可覆盖相邻变量，改变程序运行流程

修改函数返回地址

上述覆盖相邻变量的方法虽然很管用，但是漏洞利用对代码环境很苛刻

更通用的攻击缓冲区的方法是，瞄准栈帧最下方EBP和函数返回地址等栈帧的状态值

如果继续增加输入字符，超出buffer[8]字符边界

将依次淹没相邻变量、前栈帧EBP、返回地址

4.实例

1）创建一个password.txt文件，内容为1234

2）C语言实例代码

#include <stdio.h>
#include <windows.h>
#define PASSWORD "1234567"
int verify_password (char *password) //密码验证函数
{
    int authenticated;
    char buffer[44];//缓冲区大小
    authenticated=strcmp(password,PASSWORD);
    strcpy(buffer,password);//over flowed here!    
    return authenticated;
}
main()
{
    int valid_flag=0;
    char password[1024];
    FILE *fp;
    LoadLibrary("user32.dll");  //准备¸messagebox
    if(!(fp=fopen("password.txt","rw+")))
    {
        exit(0);
    }
    fscanf(fp,"%s",password);
    valid_flag = verify_password(password);
    if(valid_flag)
    {
        printf("incorrect password!\n");
    }
    else
    {
        printf("Good password is OK,You Win!\n");
    }
    system("pause");
    fclose(fp);
}