- 知识背景
- 栈溢出及防护
- 堆溢出及防护
一、知识背景
关于栈溢出的知识背景
1. 典型操作系统的内存布局：
分段的意义：
缓存命中率高、访问控制
2. 进程的内存布局：
3. 堆栈的区别：
地址增长方向
heap - 堆 地址从小到大
stack - 栈 地址从大到小
支持及作用
栈时具有硬件直接支持的，栈存储数据和控制流信息。
堆是由操作系统的库函数予以支持的，堆存储数据。
4. ESP与EIP：
esp - 栈指针寄存器
esp指向栈顶（存储栈顶的地址）
push则esp减
pop则esp增
eip - 指令指针寄存器
eip指向.test中存放的代码指令，指向的指令为即将被执行的指令。
5. 栈的工作原理：
栈的作用：为函数的调用和执行维护存储结构。
函数调用时：存储数据
函数返回时：恢复数据
栈帧：调用函数将在栈上创建一个结构化空间，称为栈帧。
锚点：函数被调用时的栈指针位置。可用于对函数的局部数据寻址、返回到调用者。
call - return的实现：
1）存储参数
push arg2
push arg1
2）存储函数f返回后需要执行的指令地址RA（push RA）
call f
3）存储返回位置
把ebp原来存储的值压栈，将esp此时的位置X存入ebp。
push %ebp
mov %esp %ebp
4）执行函数f的指令
X可帮助函数f的局部变量寻址。
5）返回
将ebp存储的值（即返回位置）告诉esp，并回复ebp原来的数据。此外，通过此时栈顶的数据RA，定位到下一条需要执行的指令。
mov %ebp %esp
pop %ebp
retn
6. 缓冲区：
copy-on-write:
资源的复制只有在需要写入的时候才进行，在此之前，只是以只读方式共享。
很多时候，函数执行中需要局部分配较大的线性内存空间。
增长方向
栈增值方向为从高到低，缓冲区的增长从低到高。
要求
缓冲区应该足够大，写入数据之前应该先检查是否仍有剩余空间可用。
关于堆溢出的知识背景
1. 堆的创建和维护：
通过malloc实现
2. 堆的工作原理：
malloc创建的区域首先是堆的场地（Arena），进程申请堆空间时，malloc从场地中划分对应大小的区域供其使用。同一场地内可能存在多个堆段。
注意：
Main Arena没有heap_info
有多个heap的Thread Arena只有一个malloc_state
场地的数量限制 - 与cpu内核数量有关：
32位系统：#_of_Arena = 2 * #_of_cores + 1
64位系统：#_of_Arena = 8 * #_of_cores + 1
堆块的形态：
N表示此块是否属于main arean; M表示此块是否是mmap()创建的; P表示前块是否正在使用。
显式链表结构bin：
bin是记录free chunk的链表数据结构，在glibc中可分为fastbinsY和bins。
fastbin主要用于高效的分配和回收比较小的内存块，采用LIFO形式的单链表结构。
顶块top chunk：
不属于任何bin。
当前所有空闲块（无论哪种bin）全都尺寸不合时，由顶块应急。
顶块比请求尺寸大——分割供给使用，剩余部分为新顶块。
顶块比请求尺寸小——全堆无适合块，扩展堆/分配新堆。
二、栈溢出及防护
1. 主要原因：忽略了边界检查
-> 开发者认为被操作对象合法
-> 二进制代码底层细节复杂，容易使人忽略问题的存在
-> 一些重要的遗产代码在最初的设计中存在此类缺陷
2. 现有的栈溢出防护技术
数据执行保护（W⊕X，NX-bit）：
机制：
对内存页面增加一个标识比特，使它要么可改写，要么可执行。
缺陷：
只要不试图执行数据区内容，则既不能阻止溢出，又不能发现溢出。
栈帧上的“金丝雀”：
机制：
栈上设置检查点，检查点数值异常，则代表栈溢出发生。
缺陷：
开销大，对遗产代码不起作用。
影子栈：
机制：
构造一个额外的动态数据区域，称为影子站。当call发生时，在返回地址入栈的同时，也将其写入影子堆栈。每当return发生时，在弹出并转向返回地址前，将其与影子堆栈的栈顶比较。
缺陷：
开销大，无法保护遗产代码。
分离的控制/数据栈：
机制：
修改操作系统的内存布局，分配两个栈空间，分别用于控制参数和数据的存储。
缺陷：
无法保护遗产代码，不适用于完全由汇编语言构成的函数。
三、堆溢出及防护
1. 与栈溢出的区别
溢出方向等于堆增长方向。首先破坏（虚拟地址意义上的）下一个堆块的构造。
2. linux上的典型堆溢出利用方式
- 攻击fastbin
- 攻击unlink
攻击fastbin：
基于fastbin块LIFO的特点，我们可以先申请，然后释放，再申请就可以得到原来地址的块。
但是这不能满足我们的需求，我们需要将堆分配在可控地址。
我们可以通过堆溢出更改已经申请块的fd，使其指向我们可控的地址，并且在可控地址上伪造假的fastbin结构。
释放，再申请两次，第2次就可以得到分配在可控地址上的块。（覆盖fd）
攻击unlink：
unlink攻击技术就是利用”glibc malloc”的内存回收机制，将second chunk给unlink掉，并且，在unlink的过程中使用shellcode地址覆盖掉free函数(或其他函数也行)的GOT表项。这样当程序后续调用free函数的时候(如上面代码[5])，就转而执行shellcode了。显然，核心就是理解glibc malloc的free机制。
一旦涉及到free内存，那么就意味着有新的chunk由allocated状态变成了free状态，此时glibc malloc就需要进行合并操作——向前以及(或)向后合并。这里所谓向前向后的概念如下：将previous free chunk合并到当前free chunk，叫做向后合并；将后面的free chunk合并到当前free chunk，叫做向前合并。
3. windows堆溢出攻击的主要形式
- 利用向量化异常处理（VEH）
- 利用系统默认异常处理函数（UEF）
- Heap spray
- Bitmap Flipping攻击
- Bitmap XOR攻击
- Heap Cache攻击
4. 堆溢出防御
堆依靠系统库实现其维护，因此，堆保护 = 系统库升级。
针对unlink的保护：
Double Free检测
next size非法检测
双链表冲突检测