黑客档案：0day漏洞之简单溢出的利用
这是我进行博客搬家所找到的第一篇文章（实际上原博客分成了三篇来写），所谓的原博客，其实就是我自己的人人网（怎么样，够不专业吧:-D）。实际上，这篇文章毫无价值可言（除了针对我自己的收藏价值外），但就是这样一篇水文，从我当时写的字里行间，以及文章后面的评论来看，我当时心里是相当做作与炫耀的。现在，回头看看，我真是觉得羞愧。整篇文章，不过就是一个栈溢出导致的安全问题。知之愈多，便觉知之愈少，反过来，真是知之愈少，反觉知之愈多啊。
以此文章警示自己，静水流深。
下面是原文（未大改，稍作了一些格式上的调整）：
原文的“上”篇
废话少说，首先来看下面一段简单的C程序：
#include <stdio.h>
#include <string.h>
#define PASSWORD "1234567" //定义密码，仅为测试，无实际意义
int check_password(char *password) //用于判断密码是否正确
{
int result;
char offset[8]; //没什么用，为溢出作准备
result = strcmp(password,PASSWORD);
strcpy(offset,password); //同上
return result;
}
int main()
{
int not_valid;
char temp[128];
while(1)
{
printf("Input the password :");
gets(temp); //此处同样有漏洞，只要你有足够耐心
not_valid = check_password(temp);
if(!not_valid)
{
printf("Congratulations!");
break;
}
else
printf("Invalid password !\n");
}
return 0;
}
本程序用于让用户输入密码，只有输入为1234567时才会退出程序，否则会一直循环要求输入。
于是大多数人就想，那只有输入"1234567"时才会退出程序了，但是，试试输入"12345678"，发现程序提示密码正确并退出了，再输入"aaaaaaaa"，发现上面的事又发生了。
出了什么问题呢？难道是程序的逻辑错了？但是输入"1234"就会提示错误啊？那到底是怎么回事呢？最后来一句老话：欲知后事如何，且听下回分解。
原文的“中”篇
现在来具体分析出现问题的原因。
来看函数check_password(char *password);中的相关定义：
int result; char offset[8];
问题就在这里。在程序编译成exe文件后， result 和 offset[8] 的内存地址是连在一起的， result 将在 offset[8] 的“下面”。于是，问题就产生了，如果我们让 offset[8] 产生溢出，溢出部分将会覆盖 result 中的内容。如果溢出部分刚好将 result 中的内容覆盖成0，程序就会成功运行！而要将 result 中的内容置0，则需要将ASCII码的 NULL 写入 result ，而字符串的最后一位刚好是 NULL ！
似乎到这里所有的问题都已经解决了，即：写入8个字符，前8个将写入 offset[8] ，而最后默认附加的一位 NULL 将溢出到 result ，将 result 置0。
但当输入01234567，也是八个字符，按上面的分析，也是将 result 置0，但为什么程序会提示输入错误，要求重新输入呢？由此看来，并不是所有的八位字符串都行，这又是为什么呢？
又是那句老话：欲知后事如何，且听下回分解。
原文的“下”篇
接着来讨论还未解决的问题，为什么输入01234567不会提示成功。
这是因为， check_password(char *) 函数中对 result 赋值采用的是 strcmp() 函数，01234567是小于1234567的，所以 strcmp() 函数会返回-1，导致 result 中的值为-1的补码0xFFFFFFFF，输入01234567只会将 result 覆盖成0xFFFFFF00，从而 result 的值不为0，也就不会成功了。
到此，所有的疑问都已解决，下次讨论，再会。