格式化字符串 Weifeng Sun School of Software, DLUT

Size: px

Start display at page:

Download "格式化字符串 Weifeng Sun School of Software, DLUT"

衿苍姜
5 years ago
Views:

1 格式化字符串 Weifeng Sun School of Software, DLUT

2 格式化字符串漏洞格式化字符串, 也是一种比较常见的漏洞类型会触发该漏洞的函数很有限主要就是 printf 还有 sprintf,fprintf 等等 c 库中 print 家族的函数 >int printf(const char* format,...) 2 / 42

3 3 / 42

4 A B 字符串指针 char str[100]; scanf("%s",str); printf("%s",str); char str[100]; scanf("%s",str); printf(str) 4 / 42

5 5 / 42

6 正常情况 #include <stdio.h> int main(void) { printf("%d%d%d%d%s",5,6,8,0x21,"test"); return 0; } 6 / 42

7 栈 7 / 42

8 8 / 42

9 printf #include <stdio.h> int main(void) { printf("%08x,%08x,%08x,%08x,%08x,%08 x,%08x,%08x,%08x,%08x,%08x,%08x"); return 0; } 9 / 42

10 前面说了一堆 ( 栈 ) 有什么用呢? 10 / 42

11 可以修改内存中的数据? #include <stdio.h> int main(void) { int a; printf("aaaaaaa%n\n",&a); printf("%d\n",a); return 0; } 结果是什么? 11 / 42

12 文字啰嗦一下 a 的值被 printf 函数修改为了 7 这就是 %n 的功效了这是一个不常用到的参数它的功能是将 %n 之前 printf 已经打印的字符个数赋值给传入的指针通过 %n 我们就可以修改内存中的值了和 %s leak 内存一样, 只要栈中有我们需要修改的内存的地址就可以使用格式化字符串的漏洞修改它如果需要修改的数据是相当大的数值时, 我们可以使用 %02333d 这种形式在打印数值右侧用 0 补齐不足位数的方式来补齐足 12 / 42

13 再来个例子 #include int main(void) { int a=1,b=2,c=3; char buf[]="test"; printf("%s %d %d %d\n",buf,a,b,c); return 0; } test / 42

14 改一下 #include int main(void) { int a=1,b=2,c=3; char buf[]= test ; printf( %s %d %d %d %x\n,buf,a,b,c) ; return 0; } test c30000 ( 编译的时候有 warning) 14 / 42

15 15 / 42

16 #include main() { int num= ; printf("before: num = %d\n", num); printf("%d%n\n", num, &num); printf("after: num = %d\n", num); } Before: num = After: num = 8 16 / 42

17 #include main() { int num= ; printf("before: num = %d\n", num); printf("%.100d%n\n", num, &num); printf("after: num = %d\n", num); } Before: num = After: num = / 42

18 覆盖一个地址要把 0x 这个地址写入内存, 我们要做的就是把该地址对应的 10 进制作为格式符控制宽度即可 : printf("% d%n\n", num, &num); printf("after: num = %x\n", num); 18 / 42

19 依旧代码 19 / 42

20 输入 >%010x%010x%010x%01970x%n 结果是? 20 / 42

21 Debug 信息 ml/3/62/2015/67893_6.htm 21 / 42

22 应用其他人的 ppt 截图 22 / 42

23 23 / 42

24 24 / 42

25 25 / 42

26 26 / 42

27 27 / 42

28 28 / 42

29 29 / 42

30 30 / 42

31 31 / 42

32 格式化字符串攻击格式化字符串漏洞为了说明对格式化字符串使用不当而产生的格式化字符串漏洞, 请先看下面的程序例 2 #include <stdio.h> int main() { char *name; gets(s); printf(s); } 32 / 42 32

33 格式化字符串攻击下面是该函数的两次运行结果 abcde abcde%08x,%08x,%08x e2,0000ffe4, d 33 / 42 33

34 格式化字符串攻击也就是说, 当输入 abcde 时, 输出仍然是 abcde 而当输入 %08x,%08x,%08x 时, 输出的却是 e2,0000fe4, d 这就是格式化字符串漏洞所造成的问题因为, 在 printf 函数中,s 被解释成了格式化字符串当调用该函数时, 首先会解析格式化字符串, 一次取一个字符进行分析 : 如果字符不是 %, 就将其原样输出 ; 若字符是 %, 则其后面的字符就要按照格式化参数进行解析当输入 abcde 时, 由于没有包含 %, 所以每个字符都被原样输出了而当输入 %08x,%08x,%08x 时, 就要将每个 % 后面的 x 都解释为一个十六进制的数据项, 但函数没有这样 3 个数据项于是, 就将堆栈中从当前堆栈指针向堆栈底部方向的 3 个地址的内容按十六进制输出出来, 这就是 e2,0000fe4, d 34 / 42 这就给人们一个启发 : 当格式化字符串中包含有许多 % 时, 就会有机会访问到一个非法地址 34

35 格式化字符串攻击 3. 格式化字符串攻击的几种形式 (1) 查看内存堆栈指针开始的一些地址的内容由例子可知, 使用类似于 printf ( %08x,%08x,%08x ); 的语句, 可以输出当前堆栈指针向栈底方向的一些地址的内容, 甚至可以是超过栈底之外的内存地址的内容 (2) 查看内存任何地址的内容所查看的内存地址内容, 也可以从任何一个地址开始的内存内容例如语句 printf ( \x20\02\x85\x08_%08x,%08x,%08x ); 将会从地址 0x 开始, 查看连续 3 个地址的内容 35 / 42 35

36 格式化字符串攻击 (3) 修改内存任何地址的内容格式化字符串函数还可以使用一个格式字符 %n 它的作用是将已经打印的字节数写入一个变量请观察下面的程序例 3 #include <stdio.h> int main() { int i; printf( china \%n\n,(int*)&i); printf( i = %d\n,i); } 36 / 42 36

37 格式化字符串攻击程序运行的结果如下 : 即 i 的值为前面已经打印的字符串 china 的长度 5 利用这一点, 很容易改变某个内存变量的值 37 / 42 37

38 格式化字符串攻击例 4 #include <stdio.h> int main() { int i = 5; printf( %108u%n\t,1,(int*)&i);printf( i=%d\n,i); printf( %23s123%n\t,,&i);print( i=%d\n,i); } 程序执行结果如下 : 38 / 42 38

39 语句格式化字符串攻击 printf( %108u%n\t,1,(int*)&i); %108u 表示以 108 的宽度来以无符号十进制的形式输出 1,%n 则表示用数据 1 的宽度 108 来修改变量 i 的值而语句 printf( %23s123%n\t,,&i); 是用字符串加上字符串 123 的存放宽度 23+3 来修改变量 i 的值使用同样的办法, 可以向进程空间中的任意地方写一个字节以达到下面的目的 : 通过修改关键内存地址内容, 实现对程序流程的控制 ; 覆盖一个程序储存的 UID 值, 以降低和提升特权 ; 覆盖一个执行命令 ; 覆盖一个返回地址, 将其重定向到包含 shell code 的缓冲区中 39 / 42 39

40 其他一些资料 details/ / 42

41 相关缓冲区溢出攻击 41 / 42

42 Q&A Thank you! Weifeng Sun 孙伟峰 Associate Professor School of Software,DLUT 42 / 42

Microsoft Word - 把时间当作朋友（2011第3版）3.0.b.06.doc

Microsoft Word - 把时间当作朋友（2011第3版）3.0.b.06.doc 2 5 8 11 0 13 1. 13 2. 15 3. 18 1 23 1. 23 2. 26 3. 28 2 36 1. 36 2. 39 3. 42 4. 44 5. 49 6. 51 3 57 1. 57 2. 60 3. 64 4. 66 5. 70 6. 75 7. 83 8. 85 9. 88 10. 98 11. 103 12. 108 13. 112 4 115 1. 115 2.