gets引发的血案

转自：http://hi.baidu.com/david_jlu/blog/item/3f742b1b74284a1a8618bf80.html

   /* DO NOT USE THIS FUNCTION!! There is no limit on how much it will read. */
下面让我们浏览一下gets的源码：

 1 char *
 2 gets(char *str){
 3         char *cp;
 4         int c;
 5         if ((stdin->flags & __SRD) == 0)
 6                 return NULL;
 7         for (c = 0, cp = str; c != '\n'; cp++) {
 8                 if ((c = getchar()) == EOF) {
 9                         stdin->flags |= __SERR;
10                         return NULL;
11                  }
12                  *cp = (char)c;
13          }
14          *--cp = '\0';
15         return str;
16 }

一直读到‘\n’结束，看上去似乎没问题，但忽略了str的长度，如果输入的串超过str边界咋办？
所以要避免使用这个函数，取而代之用fget就可以有效的检查有没有越界：


 1 char *
 2 fgets(char *as, int n, FILE *f){
 3         int c;
 4         char *s=as;
 5          c = EOF;
 6         while(n>1 && (c=getc(f))!=EOF){
 7                  *s++=c;
 8                  --n;
 9                 if(c=='\n') break;
10          }
11         if(c==EOF && s==as
12                          || ferror(f)) return NULL;
13         if(n) *s='\0';
14         return as;
15 } 
这是一个很典型的问题──缓冲区溢出（Buffer Overflow）。
1988年11月，许多组织不得不因为“Morris 蠕虫”而切断 Internet 连接，“Morris 蠕虫”使得
整个Internet的10%崩溃。2001年7月，一个名为“Code Red”的蠕虫病毒最终导致了全球
运行微软的IIS Web Server的300000多台计算机受到攻击。2003年1月，“Slammer”蠕虫利
用Microsoft SQL Server 2000中的一个缺陷，使得南韩和日本的部分Internet 崩溃，中断了
芬兰的电话服务，并且使得美国航空订票系统、信用卡网络和自动出纳机运行缓慢。所有这
些攻击都利用了缓冲区溢出的程序缺陷。为什么缓冲区溢出危害这么大呢？下面举一个例子： 1 void print_input(int a,int b) { 2         char str[3]; 3          gets(str); 4          puts(str); 5 } 6 int main(int argc, char * argv[]) { 7          print_input(1,2); 8         return 0; 9 }

编译以后（gcc加-g）用gdb调试，设断点在gets后，直接continue到断点，看看当前状态

(gdb) bt
#0 print_input (a=1, b=2) at study.c:5
#1 0x080483e7 in main () at study.c:9
(gdb) p &a
$3 = (int *) 0xbfed95c0
(gdb) p &b
$4 = (int *) 0xbfed95c4
(gdb) p &str
$5 = (char (*)[3]) 0xbfed95b5
(gdb) x/3b 0xbfed95b5
0xbfed95b5:     0x41    0x42    0x00      #这里的‘1’和‘2’是我执行时输入的str

这里能看出栈区是从高地址向低地址延伸的，即高地址为栈底低地址为栈顶，当前内存状态：

0xbfed95b5 0xbfed95b6 0xbfed95b7 ………… 0xbfed95c0 0xbfed95c4
      str[0]            str[1]             str[3]                             a                b

中间还有8个字节，是什么呢？如果学过编译编译应该知道，肯定会有返回地址的，要不然执行
完print_input怎么返回main呢？！不信看看：

(gdb) x/4b 0xbfed95bc
0xbfed95bc:     0xe7    0x83    0x04    0x08        #这个就是返回地址0x080483e7
(gdb) x/4b 0xbfed95b8
0xbfed95b8:     0xd8    0x95    0xed    0xbf
(gdb) disassemble main                                    #对main函数反汇编
Dump of assembler code for function main:
0x080483c2 <main+0>:    lea    0x4(%esp),%ecx
0x080483c6 <main+4>:    and    $0xfffffff0,%esp
0x080483c9 <main+7>:    pushl 0xfffffffc(%ecx)
0x080483cc <main+10>:   push   %ebp
0x080483cd <main+11>:   mov    %esp,%ebp
0x080483cf <main+13>:   push   %ecx
0x080483d0 <main+14>:   sub    $0x14,%esp
0x080483d3 <main+17>:   movl   $0x2,0x4(%esp)
0x080483db <main+25>:   movl   $0x1,(%esp)
0x080483e2 <main+32>:   call   0x80483a4 <print_input>
0x080483e7 <main+37>:   mov    $0x0,%eax                            #函数执行完应该返回到这
0x080483ec <main+42>:   add    $0x14,%esp
0x080483ef <main+45>:   pop    %ecx
0x080483f0 <main+46>:   pop    %ebp
0x080483f1 <main+47>:   lea    0xfffffffc(%ecx),%esp
0x080483f4 <main+50>:   ret    
End of assembler dump.

从上面可以看出，a变量左边紧挨着那个就是返回地址，即call 0x80483a4 <print_input>
的下一条指令，那还有一个空缺是什么呢？0xbfed95b8对应是堆栈指针sp，这个可有可无。
当前内存状态图：

0xbfed95b5 0xbfed95b6 0xbfed95b7 0xbfed95b8 0xbfed95bc 0xbfed95c0 0xbfed95c4
      str[0]            str[1]             str[3]          %sp          ret地址            a                 b

现在的问题出在，gets根本不检查边界，倘若输入一个很长的串就会覆盖%sp和返回地址，
这就意味着cracker能够改写返回地址，当print_input完成时，它将返回──不过不是返回到
main函数  ，而是返回到cracker想要执行的恶意代码。

附：C语言中的危险函数

函数	严重性	解决方案
gets	最危险	使用 fgets（buf, size, stdin）。这几乎总是一个大问题！
strcpy	很危险	改为使用 strncpy。
strcat	很危险	改为使用 strncat。
sprintf	很危险	改为使用 snprintf，或者使用精度说明符。
scanf	很危险	使用精度说明符，或自己进行解析。
sscanf	很危险	使用精度说明符，或自己进行解析。
fscanf	很危险	使用精度说明符，或自己进行解析。
vfscanf	很危险	使用精度说明符，或自己进行解析。
vsprintf	很危险	改为使用 vsnprintf，或者使用精度说明符。
vscanf	很危险	使用精度说明符，或自己进行解析。
vsscanf	很危险	使用精度说明符，或自己进行解析。
streadd	很危险	确保分配的目的地参数大小是源参数大小的四倍。
strecpy	很危险	确保分配的目的地参数大小是源参数大小的四倍。
strtrns	危险	手工检查来查看目的地大小是否至少与源字符串相等。
realpath	很危险（或稍小，取决于实现）	分配缓冲区大小为 MAXPATHLEN。同样，手工检查参数以确保输入参数不超过 MAXPATHLEN。
syslog	很危险（或稍小，取决于实现）	在将字符串输入传递给该函数之前，将所有字符串输入截成合理的大小。
getopt	很危险（或稍小，取决于实现）	在将字符串输入传递给该函数之前，将所有字符串输入截成合理的大小。
getopt_long	很危险（或稍小，取决于实现）	在将字符串输入传递给该函数之前，将所有字符串输入截成合理的大小。
getpass	很危险（或稍小，取决于实现）	在将字符串输入传递给该函数之前，将所有字符串输入截成合理的大小。
getchar	中等危险	如果在循环中使用该函数，确保检查缓冲区边界。
fgetc	中等危险	如果在循环中使用该函数，确保检查缓冲区边界。
getc	中等危险	如果在循环中使用该函数，确保检查缓冲区边界。
read	中等危险	如果在循环中使用该函数，确保检查缓冲区边界。
bcopy	低危险	确保缓冲区大小与它所说的一样大。
fgets	低危险	确保缓冲区大小与它所说的一样大。
memcpy	低危险	确保缓冲区大小与它所说的一样大。
snprintf	低危险	确保缓冲区大小与它所说的一样大。
strccpy	低危险	确保缓冲区大小与它所说的一样大。
strcadd	低危险	确保缓冲区大小与它所说的一样大。
strncpy	低危险	确保缓冲区大小与它所说的一样大。
vsnprintf	低危险	确保缓冲区大小与它所说的一样大。