本文共 1576 字，大约阅读时间需要 5 分钟。

在为C语言的数组等赋值时，可能赋值大小超出了数组的长度限制，这时超出的部分就会覆盖掉栈中其他部分的内容，从而发生缓冲区溢出。

下面用一个危险的例子进行说明：在这个程序中，我们利用strcpy()函数进行赋值操作。

C代码：

#include 
   
    #include 
    
     #include 
     
      void StringCopy(char *str) {    char p[10];    strcpy(p, str);}void hacked() {    while(1) {        printf("you are hacked!!!");    }}int main() {    char str[] = "0123456789012345678901234567891111";    unsigned long long *p = (unsigned long long*)&str[18];    (*p) = (unsigned long long)hacked;    //用hack函数的地址覆盖字符串str中的部分内容    //这里的18是在ubuntu64位下测试得到，其他系统可能会出现问题，不能正常运行    StringCopy(str);    return 0;}
     
    
   

运行结果：程序疯狂显示"you are hacked"；但这不是hack()函数的功能吗？我们并没有调用hack函数啊。

为了理解这个问题的本质，首先我们要知道，main函数在调用子函数时，首先会进行地址压栈，然后将栈基址指针%ebp压栈；然后会分配内存空间，如%esp-0x20(即分配32个空间，这个值具体看程序和OS)，在这部分空间中进行函数内部操作；

函数执行完毕后，会清理掉这部分内存空间，弹出%ebp，并开始执行返回地址所指向的命令！那么我们只需要覆盖这个返回地址，让它变成我们hack()程序的地址，那么程序就会执行hack程序了！

所以我们只需要计算返回地址的位置即可，StringCopy函数对应的汇编代码如下：

;4 : void StringCopy(char *str){0x555555555169 endbr640x55555555516d push   %rbp0x55555555516e mov    %rsp,%rbp0x555555555171 sub    $0x20,%rsp0x555555555175 mov    %rdi,-0x18(%rbp);5 :	    char p[10];6 :	    strcpy(p,str);0x555555555179 mov    -0x18(%rbp),%rdx0x55555555517d lea    -0xa(%rbp),%rax # %ebp-0xa即为p的地址，p占十个字节；再加上%ebp占8个字节0x555555555181 mov    %rdx,%rsi0x555555555184 mov    %rax,%rdi0x555555555187 callq  0x555555555060 
   
   
   
    
    ;7  :	}0x55555555518c nop0x55555555518d leaveq0x55555555518e retq
   

从上述程序我们可以看出，从变量p到栈底%ebp，一共占18个字节，而18个字节之后，便是返回地址所在的位置。

执行strcpy之前：

执行strcpy之后：

可以看到，函数的返回地址已经发生了改变。

继续执行，可以看到%rip的值也发生了改变，并且程序跳转到了hack()函数中，这里就完成了缓冲区溢出的攻击。

转载地址：http://ygth.baihongyu.com/