Heap Buffer Overflow

Notice

Recent Posts

Recent Comments

Link

« 2024/04 »
일	월	화	수	목	금	토
	1	2	3	4	5	6
7	8	9	10	11	12	13
14	15	16	17	18	19	20
21	22	23	24	25	26	27
28	29	30

Tags more

Archives

Today

Total

관리 메뉴

c0smicb0y

Heap Buffer Overflow 본문

정보보안/System

Heap Buffer Overflow

좡 2015. 4. 17. 01:21

I. What is Heap

프로그램이 실행되면 프로세스가 만들어진다. 프로그램이 단순한 코드의 집합이라고 생각한다면, 프로세스는 이것보다 조금 더 큰 것을 가리킨다. 프로세스가 생성되면 메모리에 여러 영역이 할당된다. 그 중 프로그램이라고 생각하는 코드가 들어있는 영역은 text section으로 불린다. 이 영역에는 또한 program counter값과 프로세서 레지스터들의 값들로 표현되는 현재의 활동을 포함한다. 그리고 프로세스는 일반적으로 임시적인 데이터(function parameters, return addresses, local variables등과 같은)를 포함하는 stack을 생성하고, global variables를 포함하는 data section을 생성한다. 그리고 프로세스는 또한 프로세스의 run time 동안 동적으로 영역을 할당하는 메모리영역인 heap을 생성한다.

[그림1] Process in memory

stack과 heap은 용도가 유사해보이지만, 몇 가지 차이점이 존재한다. 우선 stack은 영역을 넓힐 때 높은 주소에서 낮은 주소로 영역을 넓히지만, heap은 낮은 주소에서 높은 주소로 영역을 넓힌다. 그리고 stack에 있는 변수는 그 크기를 변경시킬 수 없지만, heap에 있는 변수는 그 크기를 마음대로 변화시킬 수 있다.

II. Heap Buffer Overflow Vulnerability

다음은 Heap Buffer Overflow Vulnerability를 가진 프로그램의 소스코드이다.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <fcntl.h>
#include <sys/stat.h>
 
 
void usage(char *prog_name, char *filename)
{
        printf("usage %s  <%s add data>\n", prog_name, filename);
        exit(1);
}
 
 
void fatal(char*);
void *ec_malloc(unsigned int);
 
int main(int argc, char* argv[])
{
        int userid, fd;
        char *buf,*datafile;
 
        buf = (char*)ec_malloc(100);
        datafile = (char*)ec_malloc(20);
        strcpy(datafile, "/var/notes");
 
        if(argc < 2)
        usage(argv[0], datafile);
 
        strcpy(buf, argv[1]);
 
        printf("[DEBUG] buffer @ %p: \'%s\'\n", buf, buf);
        printf("{DEBUG] datafile @ %p: \'%s\'\n", datafile, datafile);
 
        fd = open(datafile, O_WRONLY | O_CREAT | O_APPEND, S_IRUSR | S_IWUSR);
 
        if( fd == -1 )
        fatal("main() file openning...\n");
        printf("[DEBUG] file scribe.. %d\n", fd);
 
        userid = getuid();
 
        if( write(fd, &userid, 4) == -1)
        fatal("main() writing id in file");
 
        write(fd, "\n", 1);
 
        if( write(fd, buf, strlen(buf) ) == -1)
        fatal("main() writing buffer in file");
 
        write(fd,"\n", 1);
 
        if(close(fd) == -1)
        fatal("main() close file");
 
        printf("note saved\n");
        free(buf);
        free(datafile);
}
 
 
void fatal(char *message)
{
        char e_msg[100];
 
        strcpy(e_msg, "[!!] Critical error");
        strncat(e_msg, message, 83);
        perror(e_msg);
}
 
void* ec_malloc(unsigned int size)
{
        void *ptr;
 
        ptr = malloc(size);
        if( ptr == NULL)
        fatal("ec_malloc() memory share..");
 
        return ptr;
}
Colored by Color Scripter
cs

[그림2] Heap Buffer Overflow Vulnerability를 가진 프로그램

변수 buf를 동적할당하고 난 뒤, 변수 datafile을 동적할당하여, datafile에 /var/notes를 대입하고, 인자로 받은 문자열을 buffer overflow에 취약한 strcpy() 함수를 통해 buf에 대입하고 난 뒤에 datafile에 있는 문자열에 있는 파일을 open함수를 통해 쓰기 전용 파일로 연다. 파일이 없으면 생성하고 파일이 이미 존재하면 파일 내용에 덧붙인다는 옵션이 있다.

1
      fd = open(datafile, O_WRONLY | O_CREAT | O_APPEND, S_IRUSR | S_IWUSR);
cs

[그림3] open()함수를 통해 datafile에 있는 문자열로 된 파일을 여는 코드

그리고 wrtie()함수를 통해 datafile에 있는 문자열로 이루어진 파일에 &userid를 쓰고, 개행한 뒤, buf의 내용을 쓰고, 개행한뒤, file descriptor를 close하고 buf를 free()해주고 datafile을 free()해준 뒤 프로그램을 종료한다.