0day 第10章 --栈中的保护机制：GS

水深无声 2022-05-08 09:26 202阅读 0赞

### 文章目录 ###

*   *  实验环境：
     *  实验要求：
     *  GS的保护原理
     *  \*\*GS保护的局限性：\*\*
     *  \*\*针对（3）和（5）进行说明：\*\*

## 实验环境： ##

winxp sp3 、vs2010

## 实验要求： ##

vs编译时要求禁用优化、release版本

## GS的保护原理 ##

看图就明白了  
![在这里插入图片描述][70]  
![在这里插入图片描述][70 1]

在vs2010中可通过以下选项选择是否开启GS，默认开启：  
![在这里插入图片描述][70 2]

## **GS保护的局限性：** ##

（1） 函数不包含缓冲区

（2） 函数被定义为具有变量参数列表

（3） 函数使用无保护的关键字标记

（4） 函数在第一个语句中包含内嵌汇编代码

（5）缓冲区不是8字节类型且大小小于等于4个字节

## **针对（3）和（5）进行说明：** ##

（3）通过添加 \#pragma strict\_gs\_check(on) 可以对任意类型的函数添加Security Cookie，如：  
![在这里插入图片描述][70 3]

（5）对上述不加关键字保护的程序进行编译运行，会出现内存访问冲突。其中0x75662065是“e fu”经过ASCII码转换后的值，说明返回地址已经被字符串覆盖了！  
![在这里插入图片描述][70 4]  
用IDA加载，观察到vulfunction函数在返回前**果然没有Security Cookie**  
![在这里插入图片描述][70 5]  
如果添加了关键字保护，编译运行直接弹出“缓冲区溢出”的框框  
![在这里插入图片描述][70 6]  
用IDA加载，观察到vulfunction函数在返回前**添加了Security Cookie**  
![在这里插入图片描述][70 7]

[70]: /images/20220508/96c9b104e8fe4567a2ba76191e3a9fdf.png
[70 1]: /images/20220508/101df25b381f4e46980ea1195135d63c.png
[70 2]: /images/20220508/d3a96c48100f4d7b8fe355da16685bff.png
[70 3]: /images/20220508/aa7e24261b9d4271bd7b43bc9ae59e69.png
[70 4]: /images/20220508/d6f885a0448a47e4b595c26a7f581685.png
[70 5]: /images/20220508/9227534ebf6b40b19cbc2759c7fa8118.png
[70 6]: /images/20220508/5a4c19315deb406c888471ee9439c98a.png
[70 7]: /images/20220508/4bec1b3782a449eda9e38edb42120fd4.png