安全测试系列二：缓冲区溢出(Buffer Overflow/Overrun)

说到安全问题就不得不提BO。BO是安全中最大，最重要的问题，也是最最经典的安全漏洞，它可以使黑客执行任意代码，从而引发EOP的攻击。很多黑客并不太在乎其他的安全漏洞，他们就是想发现BO，从而拥有对机器的控制权。

由于BO这个问题太经典了，耳朵里不知道听过多少遍，因此在面试现在这家公司的时候还专门对BO进行了一些学习与研究，好像明白是怎么回事了。可是到了面试的时候，被别人一问就露馅了。同样，不久前面试了一个即将毕业的硕士生，是个印度小女孩。由于她做过BO相关的项目，因此也对此特意提问，没想到她对BO的理解跟我当年面试的时候也没什么两样，只是知道一点皮毛而已。

四年之前立志投身于安全或者游戏领域，最终是进入了安全领域。在这几年的时间里，我花了不少的时间去研究Web2.0, Mobile等等，并没有花多少时间在安全领域方面。虽然自己测试的是安全的产品，但是跟测试其他的非安全产品并没有太大的不同，只是多些安全的表面知识而已，没有什么深刻的理解。自己也几次问自己，“为什么自己花那么多时间在自己的领域之外，而不把这些时间用于研究自己的领域呢？”其实我心里还是很清楚答案的，那是因为安全对我的水平来说还是太难了，强行去研究它没有兴趣，只有痛苦。而Web2.0, Mobile这些东西就要容易很多，我研究起来也轻松很多，不用花什么时间学习就可以做一些成果出来。

是的，安全领域确实比较难，即使这个BO的理解我也是经过了两年多才觉得算真正的理解了，当然这也完全归于我各种技术的熟悉与提高，综合水平达到了能够理解BO的程度了。总的来说，理解BO也是分很多个层次的，各个层次要求的技术水平也不一样。要想真正理解BO，需要C语言，C语言编译，内存管理，汇编，Debugging，甚至机器码的知识。BO的形式也是各式各样，没有深厚的计算机功底是很难进行分析和利用的。今天我主要回答三个问题：什么是BO，为什么BO是一个安全问题？黑客为什么可以利用BO执行任意代码进而夺取机器的控制权？其他问题我在最后也会列出，留待感兴趣的朋友自己去探索。

1.什么是BO？

BO的概念很容易理解，只需要你有C语言的基本知识就足够了。就是你申请了一段内存，而你填入的数据大于这块内存，这样的话你填入的数据就覆盖掉了这段内存之外的内存了。比如，

void foo(char* input)

{

char buf[100];

strcpy(buf, input);

}

如果input的长度大于100，就会产生buffer overflow了。

2.为什么BO是一个安全问题？

因为黑客可以利用BO执行恶意代码从而控制计算机。我们有这个概念是因为我们常常听到有病毒利用缓冲区溢出的漏洞进行浸入或攻击，这已经成为我们头脑的一个公理似的东西呢。但是如果我问到第三个问题，可能就很少有人能回答上来了？或者是一知半解。

3. 黑客问什么可以执行任意代码？

要理解这个问题就不仅仅需要C语言的知识了，还需要懂得C语言的编译，内存管理和汇编等相关知识。我简单的来解释一下：

在C语言中，当我们调用一个函数的时候，在汇编或者机器码的level是如何实现的呢？假设我们调上边的函数foo的时候，程序的stack将会是下边图表的样子。首先，输入参数会放到栈中去，然后是这个函数执行完的下一个指令的地址，也就是return address, 然后是EBP（这个我现在不解释），再然后就是这个函数的本地变量的内存空间。比如这个函数申请了100个字节的空间。当BO发生的时候，数据就会覆盖掉buf之后的内存，关键的部分是return address可以被覆盖。那么一个黑客就可以把return address的值修改成这个buf的一个地址，比如起始地址buf[0]的地址，而这个buf里边填入黑客自己的代码。这样当这个函数退出的时候，程序会执行return address所指定的代码，也就是黑客的代码了。

 

buf[0]

…

buf[99]

EBP

return address

input

 

既然已经理解了上边的三个问题，如果有兴趣的话可以去思考以下的后续问题：

1. 怎样得到放return address的内存地址?
2. 怎样决定用什么地址来覆盖return address?
3. 什么样的代码应该放入缓冲区，这段代码做什么用，这段代码怎么编写？
4. 有什么措施可以防止缓冲区溢出？也就是说即使发生缓冲区溢出，黑客也不能或者难以利用？
5. 如果对方系统使用这些措施，有什么相应的办法去绕过？