緩沖區溢出保護機制

Linux

canary（棧保護）

棧溢出保護是一種緩沖區溢出攻擊的緩解手段，當函數存在緩沖區溢出攻擊漏洞時，攻擊者可以覆蓋棧上的返回地址來讓shellcode能夠得到執行。

當啟用棧保護后，函數開始執行的時候會先往棧里插入cookie信息，該cookie往往放置在ebp/rbp的正上方，當函數真正返回的時候會驗證cookie信息是否合法，如果不合法就停止程序運行。

攻擊者在覆蓋返回地址的時候也會將cookie信息給覆蓋掉，導致棧保護檢查失敗而阻止shellcode的執行。在Linux中我們將cookie信息稱為canary。

gcc在4.2版本中添加了棧保護的編譯參數：

-fstack-protector:只為局部變量中包含長度不小於8byte的char數組的函數插入保護代碼

-fstack-protector-all：滿足以下三個條件都會插入保護代碼：

1、局部變量的地址作為賦值語句的右值或函數參數

2、局部變量包含數組類型的局部變量，不管數組長度

3、帶register聲明的局部變量

FORTIFY

先看一個例子：

void fun(char *s) {
    char buf[0x100];
    strcpy(buf, s);
    /* Don't allow gcc to optimise away the buf */
    asm volatile("" :: "m" (buf));
}

用包含參數-U_FORTIFY_SOURCE編譯：

08048450 <fun>:
  push   %ebp               ; 
  mov    %esp,%ebp

  sub    $0x118,%esp        ; 將0x118存儲到棧上
  mov    0x8(%ebp),%eax     ; 將目標參數載入eax
  mov    %eax,0x4(%esp)     ; 保存目標參數
  lea    -0x108(%ebp),%eax  ; 數組buf
  mov    %eax,(%esp)        ; 保存
  call   8048320 <strcpy@plt>

  leave                     ; 
  ret

用包含參數-D_FORTIFY_SOURCE=2編譯:

08048470 <fun>:
  push   %ebp               ; 
  mov    %esp,%ebp

  sub    $0x118,%esp        ; 
  movl   $0x100,0x8(%esp)   ; 把0x100當作目標參數保存
  mov    0x8(%ebp),%eax     ; 
  mov    %eax,0x4(%esp)     ; 
  lea    -0x108(%ebp),%eax  ; 
  mov    %eax,(%esp)        ; 
  call   8048370 <__strcpy_chk@plt>

  leave                      ; 
  ret

可以看出，gcc生成了一些附加代碼，通過對數組大小的判斷替換strcpy, memcpy, memset等函數名，達到防止緩沖區溢出的作用。