バッファオーバーフローを観察する(最終章)

前章で見た「箱の大きさと書き込む長さの不一致」が、実際に何を起こすのかを、自分の手元で・自分が作ったプログラムに対して観察します。このコースが行うのは観察までです。制御を乗っ取る・シェルコードを実行する、といった武器化は扱いません。

標的 — わざと小さな箱を使う関数

下を bof.c として保存します。8バイトの箱に、長い文字列を strcpy するだけの、最小の例です。

#include <stdio.h>
#include <string.h>

void vulnerable(char *input) {
    char buf[8];               // 8バイトの箱
    strcpy(buf, input);        // 箱の大きさを確認せずコピーする
    printf("buf の中身: %s\n", buf);
}

int main(void) {
    vulnerable("AAAAAAAAAAAAAAAAAAAAAAAA");  // 24文字 + 終端
    printf("ここまで到達すれば、関数は無事に戻ってきた\n");
    return 0;
}

まず、保護なしでビルドして、動かす

-fno-stack-protector を付けて、あえて保護を切ってビルドします(理由はあとで分かります)。

gcc -O0 -g -fno-stack-protector -o bof bof.c
./bof
echo "終了コード: $?"

gdb で、あふれる様子を、生バイトで見る

このコースが見せるのは、ここまでです。 どこにジャンプさせるかを操作したり、実行される命令を仕込んだりはしません。あくまで「箱からあふれている」という事実を、自分の目で確かめるだけです。

gdb -q -batch \
  -ex "break bof.c:5" \
  -ex "run" \
  -ex "next" \
  -ex "print buf" \
  -ex "x/32xb buf" \
  ./bof

Breakpoint 1, vulnerable (input=0x... 'A' <repeats 24 times>) at bof.c:5
5	    strcpy(buf, input);
6	    printf("buf の中身: %s\n", buf);
$1 = "AAAAAAAA"
0x7fffffffce98:	0x41	0x41	0x41	0x41	0x41	0x41	0x41	0x41
0x7fffffffcea0:	0x41	0x41	0x41	0x41	0x41	0x41	0x41	0x41
0x7fffffffcea8:	0x41	0x41	0x41	0x41	0x41	0x41	0x41	0x41
0x7fffffffceb0:	0x00	0xcf	0xff	0xff	0xff	0x7f	0x00	0x00

既定の保護(スタックカナリア)で、もう一度

先ほど -fno-stack-protector であえて切った保護を、今度は外さずに(gcc の既定のまま)ビルドします。

gcc -O0 -g -o bof_protected bof.c
./bof_protected
echo "終了コード: $?"

*** stack smashing detected ***: terminated
終了コード: 134

これが、多層防御の実例

持ち帰る一言

箱の大きさを超えた書き込みは、隣接するメモリを、静かに侵食する。 gdbの生バイト表示が、それを目に見える証拠にしてくれました。現代の防御(スタックカナリア・ASLR・NX)は、この侵食を「気づかれない悪用」から「安全な強制終了」に変える、多層防御の実例です。次はまとめて、アセンブリの世界へ橋を渡します。