记一次有趣的 buffer overflow detected 问题分析


PS:要转载请注明出处,本人版权所有。

PS: 这个只是基于《我自己》的理解,
如果和你的原则及想法相冲突,请谅解,勿喷。

环境说明

  无

前言


  在我开发的一个实验和学习库中,在很久以前全面启用了编译器的sanitize功能。

  这次报错的程序,是我这个库中某个模块的单元测试模块。但是前面说的都不是重点。诡异的是本次出现的单元测试模块是很久未动的一个模块,而且在本地的单元测试过程中,是能够运行通过的,但是在github的ci上面出问题了。

  首先,报这个错误的原因肯定是我们的程序有问题,但是以前结合调试模式+sanitize功能基本能够把问题排除了,结合了github的ci出现问题,初步判断是由于GCC版本升级后,对于栈溢出的检查更加准确了。

  此外由于此报错是存在在一个release版本的模块,因此我们不能够采取通用的通过代码行来定位问题的方法。

问题初步定位


  首先gdb 初步分析定位,定位到如下地址:

#4  0x00007ffff6a4db81 in __GI___fortify_fail (msg=msg@entry=0x7ffff6acf7e6 "buffer overflow detected") at fortify_fail.c:44
#5  0x00007ffff6a4b870 in __GI___chk_fail () at chk_fail.c:28
#6  0x00007ffff79c06fc in ?? () from ../lib/libylib.so.0

从这里可以知道,我们在执行0x00007ffff79c06fc前面的一个指令的时候出现了"buffer overflow detected"。然后我们通过layout asm查看汇编指令,找到前面一行指令如下:

0x7ffff79c06f2:	b9 00 10 00 00       	mov    $0x1000,%ecx
0x7ffff79c06f7:	e8 44 1e fe ff       	callq  58540 <__memset_chk@plt>
0x7ffff79c06fc:	4c 89 e2             	mov    %r12,%rdx

  其实到了这里,我们可以根据一些手段,可以查到是memset导致了我们的原因,如果要是可以进行源码调试的话,我们甚至马上就能够定位是哪一行导致的。

  但是今天这里提供一种方法,可以复杂定位(兼容一个库里面多个memset调用,兼容release版本调试等等)我们出错这行汇编在我们源码中的大概位置。





问题初步定位


  首先,我们查看一下当前我们这个so文件在内存中的映射位置:

    Start Addr           End Addr       Size     Offset objfile
0x7ffff794a000     0x7ffff7bc2000   0x278000        0x0 /xxx/libylib.so.0.1.0
0x7ffff7bc2000     0x7ffff7dc2000   0x200000   0x278000 /xxx/libylib.so.0.1.0
0x7ffff7dc2000     0x7ffff7dcc000     0xa000   0x278000 /xxx/libylib.so.0.1.0
0x7ffff7dcc000     0x7ffff7dd1000     0x5000   0x282000 /xxx/libylib.so.0.1.0

  首先我们可以分析出0x7ffff79c06f7是存在在内存映射0x7ffff794a000~0x7ffff7bc2000区段中的。此外,我们还知道了一个重要的消息是,当前我们关注的0x7ffff79c06f7在so中的偏移地址是0x7ffff79c06f7-0x7ffff794a000=0x766F7。

  这个时候,我们可以通过objdump -d对libylib.so.0.1.0进行反编译分析。注意,这里要往我们关注的0x766F7偏移前面去寻找,而且还要反复去寻找,直到找到类似函数的边界(这里我建议新手直接上ida,快速解决问题),一般来说就是找函数帧,如果对这个不熟悉,建议使用ida等工具进行分析,可能更加方便。

libylib.so.0.1.0:     file format elf64-x86-64


Disassembly of section .text:

00000000000764d0 <_ZNSt6vectorIhSaIhEE17_M_default_appendEm@@Base+0x2b0>:
   764d0:	fe                   	(bad)  
   764d1:	fd                   	std    
   764d2:	ff 90 66 90 66 2e    	callq  *0x2e669066(%rax)
   764d8:	0f 1f 84 00 00 00 00 	nopl   0x0(%rax,%rax,1)
   764df:	00 

00000000000764e0 <_ZN4yLib6yShell16yLibGetClassInfoEv@@Base>:
   764e0:	48 8b 05 81 b4 40 00 	mov    0x40b481(%rip),%rax        # 481968 <_ZN4yLib6yShell10class_infoE@@Base-0x5058>
   764e7:	c3                   	retq   
   764e8:	0f 1f 84 00 00 00 00 	nopl   0x0(%rax,%rax,1)
   764ef:	00 
   //注意这里开始
   764f0:	41 57                	push   %r15
   764f2:	41 56                	push   %r14
   764f4:	49 89 fe             	mov    %rdi,%r14
   764f7:	41 55                	push   %r13
   764f9:	41 54                	push   %r12
   764fb:	55                   	push   %rbp
   764fc:	48 89 d5             	mov    %rdx,%rbp
   764ff:	53                   	push   %rbx
   76500:	48 81 ec a8 00 00 00 	sub    $0xa8,%rsp
   76507:	48 8b 56 08          	mov    0x8(%rsi),%rdx
   7650b:	48 2b 16             	sub    (%rsi),%rdx
   7650e:	64 48 8b 04 25 28 00 	mov    %fs:0x28,%rax
   76515:	00 00 
   76517:	48 89 84 24 98 00 00 	mov    %rax,0x98(%rsp)
   7651e:	00 
   7651f:	31 c0                	xor    %eax,%eax
   76521:	48 8b 47 08          	mov    0x8(%rdi),%rax
   76525:	48 2b 07             	sub    (%rdi),%rax
   76528:	48 c1 fa 05          	sar    $0x5,%rdx
   7652c:	48 c1 f8 05          	sar    $0x5,%rax
   76530:	48 8d 7c 02 01       	lea    0x1(%rdx,%rax,1),%rdi
   76535:	48 89 f8             	mov    %rdi,%rax
   76538:	48 c1 e8 3c          	shr    $0x3c,%rax
   7653c:	0f 85 67 54 fe ff    	jne    5b9a9 <fwrite@plt+0x1221>
   76542:	48 c1 e7 03          	shl    $0x3,%rdi
   76546:	49 89 f4             	mov    %rsi,%r12
   76549:	48 89 cb             	mov    %rcx,%rbx
   7654c:	e8 2f dc fd ff       	callq  54180 <_Znam@plt>
   76551:	49 8b 7e 08          	mov    0x8(%r14),%rdi
   76555:	49 8b 14 24          	mov    (%r12),%rdx
   76559:	49 89 c5             	mov    %rax,%r13
   7655c:	49 8b 74 24 08       	mov    0x8(%r12),%rsi
   76561:	49 8b 06             	mov    (%r14),%rax
   76564:	48 29 d6             	sub    %rdx,%rsi
   76567:	48 29 c7             	sub    %rax,%rdi
   7656a:	49 89 f9             	mov    %rdi,%r9
   7656d:	49 89 f2             	mov    %rsi,%r10
   76570:	49 89 f0             	mov    %rsi,%r8
   76573:	48 01 c7             	add    %rax,%rdi
   76576:	49 c1 f9 05          	sar    $0x5,%r9
   7657a:	49 c1 fa 05          	sar    $0x5,%r10
   7657e:	4b 8d 0c 11          	lea    (%r9,%r10,1),%rcx
   76582:	49 c7 44 cd 00 00 00 	movq   $0x0,0x0(%r13,%rcx,8)
   76589:	00 00 
   7658b:	4c 89 e9             	mov    %r13,%rcx
   7658e:	4d 85 c9             	test   %r9,%r9
   76591:	74 19                	je     765ac <_ZN4yLib6yShell16yLibGetClassInfoEv@@Base+0xcc>
   76593:	0f 1f 44 00 00       	nopl   0x0(%rax,%rax,1)
   76598:	48 8b 30             	mov    (%rax),%rsi
   7659b:	48 83 c0 20          	add    $0x20,%rax
   7659f:	48 83 c1 08          	add    $0x8,%rcx
   765a3:	48 89 71 f8          	mov    %rsi,-0x8(%rcx)
   765a7:	48 39 c7             	cmp    %rax,%rdi
   765aa:	75 ec                	jne    76598 <_ZN4yLib6yShell16yLibGetClassInfoEv@@Base+0xb8>
   765ac:	4d 85 d2             	test   %r10,%r10
   765af:	74 23                	je     765d4 <_ZN4yLib6yShell16yLibGetClassInfoEv@@Base+0xf4>
   765b1:	48 89 d0             	mov    %rdx,%rax
   765b4:	4b 8d 54 cd 00       	lea    0x0(%r13,%r9,8),%rdx
   765b9:	4a 8d 34 00          	lea    (%rax,%r8,1),%rsi
   765bd:	0f 1f 00             	nopl   (%rax)
   765c0:	48 8b 08             	mov    (%rax),%rcx
   765c3:	48 83 c0 20          	add    $0x20,%rax
   765c7:	48 83 c2 08          	add    $0x8,%rdx
   765cb:	48 89 4a f8          	mov    %rcx,-0x8(%rdx)
   765cf:	48 39 f0             	cmp    %rsi,%rax
   765d2:	75 ec                	jne    765c0 <_ZN4yLib6yShell16yLibGetClassInfoEv@@Base+0xe0>
   765d4:	48 8b 7d 08          	mov    0x8(%rbp),%rdi
   765d8:	48 2b 7d 00          	sub    0x0(%rbp),%rdi
   765dc:	48 c1 ff 05          	sar    $0x5,%rdi
   765e0:	48 83 c7 01          	add    $0x1,%rdi
   765e4:	48 89 f8             	mov    %rdi,%rax
   765e7:	48 c1 e8 3c          	shr    $0x3c,%rax
   765eb:	0f 85 93 0a 00 00    	jne    77084 <_ZN4yLib6yShell16yLibGetClassInfoEv@@Base+0xba4>
   765f1:	48 c1 e7 03          	shl    $0x3,%rdi
   765f5:	e8 86 db fd ff       	callq  54180 <_Znam@plt>
   765fa:	48 8b 75 08          	mov    0x8(%rbp),%rsi
   765fe:	48 89 c2             	mov    %rax,%rdx
   76601:	48 89 44 24 08       	mov    %rax,0x8(%rsp)
   76606:	48 8b 45 00          	mov    0x0(%rbp),%rax
   7660a:	48 29 c6             	sub    %rax,%rsi
   7660d:	48 89 f1             	mov    %rsi,%rcx
   76610:	48 01 c6             	add    %rax,%rsi
   76613:	48 c1 f9 05          	sar    $0x5,%rcx
   76617:	48 8d 3c ca          	lea    (%rdx,%rcx,8),%rdi
   7661b:	48 c7 07 00 00 00 00 	movq   $0x0,(%rdi)
   76622:	48 85 c9             	test   %rcx,%rcx
   76625:	74 1d                	je     76644 <_ZN4yLib6yShell16yLibGetClassInfoEv@@Base+0x164>
   76627:	66 0f 1f 84 00 00 00 	nopw   0x0(%rax,%rax,1)
   7662e:	00 00 
   76630:	48 8b 08             	mov    (%rax),%rcx
   76633:	48 83 c0 20          	add    $0x20,%rax
   76637:	48 83 c2 08          	add    $0x8,%rdx
   7663b:	48 89 4a f8          	mov    %rcx,-0x8(%rdx)
   7663f:	48 39 c6             	cmp    %rax,%rsi
   76642:	75 ec                	jne    76630 <_ZN4yLib6yShell16yLibGetClassInfoEv@@Base+0x150>
   76644:	48 c7 07 00 00 00 00 	movq   $0x0,(%rdi)
   7664b:	48 8b 35 06 b2 40 00 	mov    0x40b206(%rip),%rsi        # 481858 <_ZSt7nothrow@GLIBCXX_3.4>
   76652:	bf 00 10 00 00       	mov    $0x1000,%edi
   76657:	e8 b4 2d fe ff       	callq  59410 <_ZnamRKSt9nothrow_t@plt>
   7665c:	48 8d 7c 24 28       	lea    0x28(%rsp),%rdi
   76661:	48 89 c5             	mov    %rax,%rbp
   76664:	48 8b 05 5d 1c 1a 00 	mov    0x1a1c5d(%rip),%rax        # 2182c8 <_ZTSNSt6thread11_State_implINS_8_InvokerISt5tupleIJMN4yLib11yThreadPoolEFvvEPS4_EEEEEE@@Base+0x4e8>
   7666b:	48 89 44 24 28       	mov    %rax,0x28(%rsp)
   76670:	e8 fb 1c fe ff       	callq  58370 <pipe@plt>
   76675:	85 c0                	test   %eax,%eax
   76677:	0f 88 69 03 00 00    	js     769e6 <_ZN4yLib6yShell16yLibGetClassInfoEv@@Base+0x506>
   7667d:	e8 4e e5 fd ff       	callq  54bd0 <fork@plt>
   76682:	41 89 c4             	mov    %eax,%r12d
   76685:	85 c0                	test   %eax,%eax
   76687:	0f 88 08 07 00 00    	js     76d95 <_ZN4yLib6yShell16yLibGetClassInfoEv@@Base+0x8b5>
   7668d:	0f 84 1d 01 00 00    	je     767b0 <_ZN4yLib6yShell16yLibGetClassInfoEv@@Base+0x2d0>
   76693:	8b 7c 24 2c          	mov    0x2c(%rsp),%edi
   76697:	e8 24 3e fe ff       	callq  5a4c0 <close@plt>
   7669c:	48 8d 74 24 1c       	lea    0x1c(%rsp),%rsi
   766a1:	31 d2                	xor    %edx,%edx
   766a3:	44 89 e7             	mov    %r12d,%edi
   766a6:	e8 55 00 fe ff       	callq  56700 <waitpid@plt>
   766ab:	8b 44 24 1c          	mov    0x1c(%rsp),%eax
   766af:	a8 7f                	test   $0x7f,%al
   766b1:	0f 85 8a 07 00 00    	jne    76e41 <_ZN4yLib6yShell16yLibGetClassInfoEv@@Base+0x961>
   766b7:	0f b6 cc             	movzbl %ah,%ecx
   766ba:	f6 c4 ff             	test   $0xff,%ah
   766bd:	0f 85 cd 03 00 00    	jne    76a90 <_ZN4yLib6yShell16yLibGetClassInfoEv@@Base+0x5b0>
   766c3:	8b 7c 24 28          	mov    0x28(%rsp),%edi
   766c7:	48 8d 35 52 cb 1c 00 	lea    0x1ccb52(%rip),%rsi        # 243220 <_ZTSN4Json12RuntimeErrorE@@Base+0x60>
   766ce:	e8 cd 0d fe ff       	callq  574a0 <fdopen@plt>
   766d3:	49 89 c4             	mov    %rax,%r12
   766d6:	48 85 ed             	test   %rbp,%rbp
   766d9:	0f 84 f1 02 00 00    	je     769d0 <_ZN4yLib6yShell16yLibGetClassInfoEv@@Base+0x4f0>
   766df:	4c 8d 74 24 70       	lea    0x70(%rsp),%r14
   766e4:	0f 1f 40 00          	nopl   0x0(%rax)
   766e8:	31 f6                	xor    %esi,%esi
   766ea:	ba 01 10 00 00       	mov    $0x1001,%edx
   766ef:	48 89 ef             	mov    %rbp,%rdi
   766f2:	b9 00 10 00 00       	mov    $0x1000,%ecx
   766f7:	e8 44 1e fe ff       	callq  58540 <__memset_chk@plt>
   766fc:	4c 89 e2             	mov    %r12,%rdx

  我们往此偏移往上查找,找到了764f0偏移的特殊指令,这里一看就是一个函数的开始位置(这里为啥是函数开始,主要是操作备份rbp,申请栈,操作rsp等等)。

  这里其实又有两个选择,我们在分析函数头的过程中,其实已经找到了足够多的我们想要找的函数特征:例如这里调用了fork/pipe/fdopen等等,如果情况是这样的,那么其实我们可以综合分析,找到我们源码对应出错的位置了。

  那如果我们的函数平平无奇,没有什么明显特征怎么搞呢?还是只有利用我们的函数头来判断,到底是我们写的哪个函数出问题了。

  于是我们拿着764f0偏移,通过readelf -s来查找符号,发现不是任何一个我们已知的符号,这尼玛就坑了啊。到了这里,其实现在不好搞啊。我们用gdb record / ida / objdump + grep 来综合分析,发现了跳转到当前地址的一个地方。下面是用readelf+objdump+grep来得到的一段片段:

764f0:	41 57                	push   %r15
77090:	e9 5b f4 ff ff       	jmpq   764f0 <_ZN4yLib6yShell16yLibGetClassInfoEv@@Base+0x10>

  我们再次用objdump和readelf查找77090这个偏移,终于在符号表查到了我们关心的这个偏移,如下:

559: 0000000000077090     5 FUNC    GLOBAL DEFAULT   12 _ZN4yLib6yShell7ExecuteERKSt6vectorINSt7__cxx1112basic_stringIcSt11char_traitsIcESaIcEEESaIS7_EESB_SB_RS9_

  到此,通过复原cxx函数名字,我们就知道了我们在哪个函数里面崩溃的,而且是在这个函数的memset的地方导致溢出崩溃的。





后记


  此问题的分析加深了我们对计算机的理解,使用了较多的二进制分析工具。

  结合我以前的调试和反调试经验,新手我还是建议直接上刑具ida进行分析,这样更棒哦。

参考文献




打赏、订阅、收藏、丢香蕉、硬币,请关注公众号(攻城狮的搬砖之路)
qrc_img

PS: 请尊重原创,不喜勿喷。

PS: 要转载请注明出处,本人版权所有。

PS: 有问题请留言,看到后我会第一时间回复。


文章作者: Sky
版权声明: 本博客所有文章除特別声明外,均采用 CC BY 4.0 许可协议。转载请注明来源 Sky !
  目录