栈溢出实践

#include <stdio.h>
#define PASSWORD "1234567"
int verify_password (char *password)
{
    int authenticated;
    char buffer[8];
    authenticated=strcmp(password,PASSWORD);
    strcpy(buffer,password);//over flowed here!    
    return authenticated;
}
void main(void)
{
    int valid_flag=0;
    char password[1024];
    FILE * fp;
    if(!(fp=fopen("password.txt","rw+")))
    {
        exit(0);
    }
    fscanf(fp,"%s",password);
    valid_flag = verify_password(password);
    if(valid_flag)
    {
        printf("incorrect password!
");
    }
    else
    {
        printf("You have passed the verification!
");
    }
    fclose(fp);
}

编译成debug版本后，用ollydbg打开，

由图可知通过验证的程序分支的指令地址是0x00401122  如果把返回地址覆盖成这个地址。则程序将直接跳转到验证通过分支。

buffer[0~3]

buffer[4~7]

authenticated

前栈帧EBP

返回地址

在password.txt中，将4321作为一个输入单元，buffer[8]需要2个单元，第三个单元将authenticated覆盖，第四个将EBP覆盖，第五个单元将返回地址覆盖。

用十六进制编辑器UltraEdit将第五个修改为0x00401122即可实现跳转。

代码植入：

将以上程序稍加修改：

#include <stdio.h>
#include <windows.h>
#define PASSWORD "1234567"
int verify_password(char *password)
{
    int authenticated;
    char buffer[44];
    authenticated = strcmp(password, PASSWORD);  // = ,return 0
    strcpy(buffer, password);
    return authenticated;
}
void main(void)
{
    int valid_flag = 0;
    char password[1024];
    FILE *fp;
    LoadLibrary("user32.dll");    //for messagebox
    if(!(fp = fopen("password.txt","rw+")))
    {
        exit(0);
    }
    fscanf(fp,"%s",password);
    valid_flag = verify_password(password);
    if(valid_flag)
        printf("incorrect password !
");
    else
        printf("You have passed the verification !
");
    fclose(fp);
    getchar();

}

将在password.txt植入用来调用Win API函数MessageBoxA的二进制机器码。

buffer[44]需要11个4321单元....第14个将返回地址覆盖。

先在password.txt写入44个字符，则第45个隐藏的截断符null将冲掉authenticated低字节中的1，从而通过验证，此时运行程序可通过。