溢出漏洞是一种计算机程序的可更正性缺陷。溢出漏洞的全名：缓冲区溢出漏洞 因为它是在程序执行的时候在缓冲区执行的错误代码，所以叫缓冲区溢出漏洞。

简介

何谓溢出漏洞(一、溢出原理 二、本地溢出 三、远程溢出)

相关资料(1、在程序的地址空间里安排适当的代码 2、控制程序转移到攻击代码的形式 3、植入综合代码和流程控制)

简介

它一般是由于编程人员的疏忽造成的。

具体的讲，溢出漏洞是由于程序中的某个或某些输入函数（使用者输入参数）对所接收数据的边界验证不严密而造成。

根据程序执行中堆栈调用原理，程序对超出边界的部分如果没有经过验证自动去掉，那么超出边界的部分就会覆盖后面的存放程序指针的数据，当执行完上面的代码，程序会自动调用指针所指向地址的命令。

根据这个原理，恶意使用者就可以构造出溢出程序。

何谓溢出漏洞

一、溢出原理

其实溢出原理很简单（我以前以为很难理解，太菜了，o（∩_∩）o…）。当然，这里为了让大家容易理解，会引用一些程序实例（如果没有编程基础的，可以略过程序不看，影响不大，还是能理解的），而且说得会比较通俗和简单，不会太深入。

从书上找来找去，终于找到一个适合的程序（汗！要找符合的程序简单啊，但是要找特级菜鸟觉得特别简单的程序就不多了，55~~）。大家看看下面这段程序：

#include “stdafx.h”

#include “string.h”

#include “stdio.h”

char buf[255],pass[4]; /*声明变量，让计算机分配指定的内存*/

int main (int argc,char* argv[ ])

{

printf（“请输入您的密码：”）; /*指定输出的字符*/

scanf(%s,buf)； /*输入一个字符串，保存在变量buf中*/

strcpy(pass,buf); /*把字符串buf中的字符串复制到变量pass中*/

if (strcmp(pass，”wlqs”）= =0) /*比较输入的字符串是否为密码*/

printf （“输入正确！”）；

else printf（“输入错误！）；

return 0;

}

（注：“/*”中的中文是对程序的注解）

这是一段密码验证程序，与我们平时输入密码一样，先让用户输入密码，然后在取得真正的密码，与之对比，如果差异为0，则输出密码正确，否则输出密码错误。很多帐号登录的程序都是这样做的，看起来没有非常合理，其实不然，它有一个致命缺陷！这个漏洞很容易就看出来了。那就是它给数据申请了4个字节的储存空间，但是万一用户输入的数据不只4个字节，那么剩余的字节存放在哪里？

先举个例子，有一条一米长的木头，有一张红色纸条从尾巴往头贴，上面写有字，然后又有一张蓝色纸条，上面也写有字，要从木头的头往它的尾巴贴，但是贴了红色纸条过后只剩4cm的长度，贴完后会有人读出后面96cm的字，并且执行字条的命令，但是蓝色纸条却有10cm的长度，怎么办呢？只有把蓝色纸条剩下的部分贴在红色纸条上了。那么红色纸条的一些字就被覆盖了。但是那个人还是会去读那后面96cm的字，所以他就只有读错，前面读的都是蓝色字条的字。先前去执行的是蓝色字条后面6cm的命令。

当然大家看了这个例子也不是很懂，下面来注解一下：

人——CPU

红色字条上的字——CPU要执行的命令

4cm的长度——计算机为数据申请的内存空间

蓝色字条上的字——要储存的数据

可以看见蓝色字条已经覆盖了红色字条上的字，然而那个人还是必须读出后面96cm的字并执行。后面已经不是规定的命令了！他根本就不能执行，根本读不懂！那么他就不能执行了，并且报错。

如图系统只为我的密码分配4个字节的内存，那么我输入的密码是“714718366”循环了6次的，不只4个字节吧，其他剩下的字符将溢出！剩下的数字将占用内存空间，那么系统执行命令的时候将会执行占用内存的数据，而不是执行原先写好的命令了！这些数字系统根本就读不懂，如何执行？那么它只好报错了！说此程序遇到问题需要关闭。那么计算机上的程序将出错而无法执行或关闭。

二、本地溢出

上面所说的本地计算机因数据溢出而关闭程序或无法执行就叫做本地溢出。输入超长的数据已经把计算机要执行的代码覆盖掉了，可是，计算机不会管指令有没有被更改，依旧取原先存放指令的空间里的数据来运行，取到“shujucuole!shujucuole!shujucuole！”这些不合法的溢出数据，它依旧会执行，可是在计算机里这样的指令是非法指令，也就是不符合计算机逻辑的指令，用户执行它的时候就会出错，于是程序就被强行关闭了。

题外话：（想来想去，还是说一说o（∩_∩）o…我的爱好……损人利己的爱好）利用这样的溢出漏洞可以关闭很多程序，比如各学校机房里安装的那些远程教育系统，学生的计算机被教师的计算机所控制是因为学生机上安装有一个学生端程序，教师机可以通过教师端来对学生端进行远程控制，学生端没有退出功能，学生所在的用户组也没有强行结束进程的权限，当学生不想被老师控制的时候，可以打开学生端自带的远程消息功能，在消息里输入很长的数据，比如几百上千句“敢控制我！看我不宰了你！”，然后发送，就可以令学生端程序出错而被系统强行关闭。这招对某些网吧的收费系统也有用的！^_^

三、远程溢出

再举个列子（哎，这英文字母也太难打了，程序更难找，还翻了好几本书呢！55~~）：

#include “stdafx.h”

#include <winsock.h>

#pragma comment(lib，”ws2_32”）

int main(int argc,char* argv[ ])

{

char buf[255]=” ”，pass[4]=” ”； //声明变量，让计算机分配内存

//================================================================

//这节的代码功能是初始化网络连接

//并侦听1234端口等待连接

//没有编程基础的特级菜鸟可以略过不看

SOCKET sock1，sock2；

struct sockaddr_in addr1;

struct sockaddr_in addr2;

addr1 .sin_addr.s_addr=INADDR_ANY;

addr1 .sin_family=AF_INET;

addr1 .sin_port=htons(1234);

WSADATA * wsadatal=new WSADATA( );

WSAStartup(MAKEWORD(2,2),wsadatal1);

sock1=socket(AF_INET,SOCK_STREAM,0);

bind(sock1,(sockaddr *)&addr1,sizeof(struct sockaddr) );

listen(sock1,10);

int iSin=sizeof(struct sockaddr_in);

//=================================================================

if(sock2=accept(sock1,(sockaddr *)&addr2,&iSin)

{//有用户连接进来

send(sock2，“请输入密码，密码正确，则告诉你我的qq:”，36,0);

//发送提示用户输入密码

if (recv(sock2,buf,255,0))

{//接受用户发送过来的数据并保存在缓冲buf变量里

strcpy (pass,buf);//把缓冲buf变量里的数据复制到pass变量中

if(strcmp(pass，”wlqs”= =0)

//比较pass变量里的数据跟“wlqs”字符串之间的差异是否为0

{//差异为0，则说明两者相等，密码正确

send(sock2，”714718366”，9,0）；//发送QQ号给用户

}

else

{//否则就说明密码错误

send (sock2，”密码错误！”，10,0);

}

}

}

//=================[/ft]关闭网络连接并退出=======================

closesocket(sock2);

closesocket(sock1);

return 0;

}

这是一个服务器程序，当有用户连接的时候，它会先发送一句话，提示用户输入登录密码。其实它和前面说的本地溢出例子形似，问题也就处在把数据从缓存复制到内存的那句代码里，如果远程用户输入的密码太长，那么同样出现溢出的现象。那么程序就会出错，服务端将被强行关闭。

举个例子，比如腾讯公司的即时通讯软件服务端程序就曾被黑客不停地攻击导致服务端崩溃，不能正常提供服务，致使很多用户都不能登陆，及时登陆成功也会在几分钟之内再次掉线，就是因为他们的服务端有这样的漏洞存在，被别人利用了，这给他们以及他们的客户造成了不可估计的损失。

相关资料

缓冲区溢出漏洞攻击方式

缓冲区溢出漏洞可以使任何一个有黑客技术的人取得机器的控制权甚至是最高权限。一般利用缓冲区溢出漏洞攻击root程序，大都通过执行类似“exec(sh）”的执行代码来获得root 的shell。黑客要达到目的通常要完成两个任务，就是在程序的地址空间里安排适当的代码和通过适当的初始化寄存器和存储器，让程序跳转到安排好的地址空间执行。

1、在程序的地址空间里安排适当的代码

在程序的地址空间里安排适当的代码往往是相对简单的。如果要攻击的代码在所攻击程序中已经存在了，那么就简单地对代码传递一些参数，然后使程序跳转到目标中就可以完成了。攻击代码要求执行“exec（‘/bin/sh’）”，而在libc库中的代码执行“exec(arg）”，其中的“arg”是个指向字符串的指针参数，只要把传入的参数指针修改指向“/bin/sh”，然后再跳转到libc库中的响应指令序列就可以了。当然，很多时候这个可能性是很小的，那么就得用一种叫“植入法”的方式来完成了。当向要攻击的程序里输入一个字符串时，程序就会把这个字符串放到缓冲区里，这个字符串包含的数据是可以在这个所攻击的目标的硬件平台上运行的指令序列。缓冲区可以设在：堆栈（自动变量）、堆（动态分配的）和静态数据区（初始化或者未初始化的数据）等的任何地方。也可以不必为达到这个目的而溢出任何缓冲区，只要找到足够的空间来放置这些攻击代码就够了。

2、控制程序转移到攻击代码的形式

缓冲区溢出漏洞攻击都是在寻求改变程序的执行流程，使它跳转到攻击代码，最为基本的就是溢出一个没有检查或者其他漏洞的缓冲区，这样做就会扰乱程序的正常执行次序。通过溢出某缓冲区，可以改写相近程序的空间而直接跳转过系统对身份的验证。原则上来讲攻击时所针对的缓冲区溢出的程序空间可为任意空间。但因不同地方的定位相异，所以也就带出了多种转移方式。

（1）Function Pointers（函数指针）

在程序中，“void (* foo) ( ）”声明了个返回值为“void” Function Pointers的变量“foo”。Function Pointers可以用来定位任意地址空间，攻击时只需要在任意空间里的Function Pointers邻近处找到一个能够溢出的缓冲区，然后用溢出来改变Function Pointers。当程序通过Function Pointers调用函数，程序的流程就会实现。

（2）Activation Records（激活记录）

当一个函数调用发生时，堆栈中会留驻一个Activation Records，它包含了函数结束时返回的地址。执行溢出这些自动变量，使这个返回的地址指向攻击代码，再通过改变程序的返回地址。当函数调用结束时，程序就会跳转到事先所设定的地址，而不是原来的地址。这样的溢出方式也是较常见的。

（3）Longjmp buffers（长跳转缓冲区）

在C语言中包含了一个简单的检验/恢复系统，称为“setjmp/longjmp”，意思是在检验点设定“setjmp(buffer）”，用longjmp(buffer）“来恢复检验点。如果攻击时能够进入缓冲区的空间，感觉“longjmp(buffer）”实际上是跳转到攻击的代码。像Function Pointers一样，longjmp缓冲区能够指向任何地方，所以找到一个可供溢出的缓冲区是最先应该做的事情。

3、植入综合代码和流程控制

常见的溢出缓冲区攻击类是在一个字符串里综合了代码植入和Activation Records。攻击时定位在一个可供溢出的自动变量，然后向程序传递一个很大的字符串，在引发缓冲区溢出改变Activation Records的同时植入代码（权因C在习惯上只为用户和参数开辟很小的缓冲区）。植入代码和缓冲区溢出不一定要一次性完成，可以在一个缓冲区内放置代码（这个时候并不能溢出缓冲区），然后通过溢出另一个缓冲区来转移程序的指针。这样的方法一般是用于可供溢出的缓冲区不能放入全部代码时的。如果想使用已经驻留的代码不需要再外部植入的时候，通常必须先把代码做为参数。在libc（熟悉C的朋友应该知道，现在几乎所有的C程序连接都是利用它来连接的）中的一部分代码段会执行“exec(something）”，当中的something就是参数，使用缓冲区溢出改变程序的参数，然后利用另一个缓冲区溢出使程序指针指向libc中的特定的代码段。

程序编写的错误造成网络的不安全性也应当受到重视，因为它的不安全性已被缓冲区溢出表现得淋漓尽致了。