利用strcpy攻击服务器（攻击服务器代码）

char* strcpy(char * destination, const char * source)

strcpy函数将source所指向的字符串拷贝到destination，拷贝内容是从source所指向的地址开始，直到遇到\0为止。这就意味着，拷贝的内容有可能超过destination的空间。如果destination是通过new在堆中分配内存，将导致堆破坏。如果destination是局部变量，将导致栈破坏。不管是堆破坏还是栈破坏，最终大概率将导致程序异常崩溃，这种情况有可能会在程序运行一段时间后才出现崩溃，所以排查相当困难。强烈建议使用微软提供的安全版本strcpy_s，指定destination的空间长度。sprintf也存在同样的问题。

由于strcpy会导致栈破坏，如果source是来源于用户输入的数据，用户就可以构造特殊的数据让服务端执行，进行恶意攻击，攻击的原理是：程序在调用函数时，call指令会将下一条指令先存入栈，然后执行函数，函数执行完后，ret指令会取出之前call指令存放的下一条指令，继续执行，于是通过栈破坏，替换下一条指令为自己构造的恶意代码（比如调起cmd，执行文件删除）。

接下来，我将演示如何通过strcpy的漏洞代码，改变程序的执行流程。先看一段简单的服务端代码。

void ProcessData(const char data[])
{
    char buf[4];
    strcpy(buf, data);    
}

int main()
{    
    const char* data = GetDataFromUserInput();
    ProcessData(data);
    return 0;
}

此代码片段，演示程序通过GetDataFromUserInput()函数从用户输入获得数据（可以是通过网络从前端发送过来），然后处理数据ProcessData()，该函数通过strcpy拷贝data到局部变量buf。如前面所说，strcpy调用前未对data长度进行校验，可能会导致栈破坏。

程序调用ProcessData函数返回后，要继续执行这行代码return 0; 所以在进入ProcessData()函数前需要先将return 0; 的指令存在栈上（这是由汇编指令call所做的）。进入ProcessData()后，buf是局部变量占4个字节也是在栈上，通过计算return 0的指令所在的栈上地址与buf的地址之间的偏移后，在data对应的位置填入攻击函数的地址，等strcpy执行完，下一条指令return 0；就会变成攻击函数的地址，完成拦截。

return 0的指令所在的栈上地址与buf的地址之间的偏移，怎么计算呢？对汇编代码熟悉的牛人，一眼就能计算出来。接下来，我演示下如何通过汇编代码，计算他们之间的偏移值。本人使用Visual Studio 2013调试。

这是main函数的汇编代码，我在调用ProcessData()这行代码设置断点，如下图所示。

此时，esp寄存器（指向栈顶地址）通过监视器知道是0x0034fa30

mov eax, dword ptr [data] 将data地址类型const char* 转成dword ptr，存在寄存器eax

push eax 将eax存在栈上，也就是将data地址存在栈上（函数调用前都需要将参数入栈，data是ProcessData的参数，所以得入栈），此时栈顶0x0034fa30的值是data的地址，esp变成0x0034fa2c（栈地址是从高到低，所以esp要减4）

call ProcessData 调用ProcessData，可以按F11调试进入ProcessData，call下一条指令地址是00E51725 add esp, 4

按F11进入ProcessData()，如下是ProcessData()的汇编代码。

此时通过监视器看到esp地址是0x0034fa28，比上面push eax指令执行后esp值0x0034fa2c又少了4个字节，就是因为call指令将返回指令00E51725 add esp, 4的地址00E51725存入栈上。通过内存查看器可以证实。

从上面调试可知道，函数调用返回地址存在栈0x0034fa28上。

继续调试，断点设置在call dword ptr ds:[0E54100h]这行（也就是strcpy(buf,data）这行代码)，按F5执行。鼠标移到buf变量上，知道buf地址是0x0034fa20。

由此可知函数调用返回地址在栈上的位置与buf变量的位置偏移值是8（0x0034fa28 - 0x0034fa20）。于是就可以构造用户数据，完整代码如下。

#include <iostream>
#include<windows.h>
using namespace std;

void Attack()
{
    while (true)
    {
        cout << "You have been attacked" << endl;
        Sleep(1000);
    }
}

void ProcessData(const char data[])
{
    char buf[4];
    strcpy(buf, data);    
}

const char* GetDataFromUserInput()
{
    static char data[13];
    int attackAddress = (int)&Attack;
    memset(data, 'a', sizeof(data));
    memcpy(data + 8, &attackAddress, 4);
    data[12] = 0;
    return data;
}

int main()
{    
    const char* data = GetDataFromUserInput();
    ProcessData(data);
    return 0;
}

GetDataFromUserInput()里面构造一个13字节的数据，内存初始化为字母a，最后一个字节设置为0（要让strcpy拷贝这13个字节，只能最后一个字节为0）。然后在偏移值8位置保存攻击函数的地址&Attack。

本演示是在Visual Studio 2013，Release配置下，关闭“启用内部函数”设置（如果不关闭，strcpy函数的汇编指令会直接内联到ProcessData()内，为了简化汇编指令，特意关闭该设置），运行结果如下图所示。