Question

我一直在玩memcpy（）可能用于恶意目的的想法。我做了几个测试应用程序，看看我是否可以“偷”＆＃34;来自不同地区的内存数据。到目前为止，我已经测试了三个区域，堆，堆栈和常量（只读）内存。常量内存是我测试中唯一崩溃的内存，引起了MinGW的错误。

这是一个说明我最新测试的例子：

#include <stdio.h>
#include <stdlib.h>
#include <string.h>

void removeTerminatingCharacters( char ** string, const int length )
{
    int i = 0;

    for ( ; i < length; ++i )
        if ( !( *string )[i] )
            ( *string )[i] = '0';

    return;
}

int main()
{
    int * naive = malloc( sizeof( int ) );
    *naive = 0;

    char * stolenData = malloc( 2000 );

    memset( stolenData, 0, 2000 );
    memcpy( stolenData, naive, 1999 );
    removeTerminatingCharacters( &stolenData, 2000 );

    printf( "%s\n", stolenData );

    free( stolenData );
    return 0;
}

输出：

0000-0:0Væ1lDk¦#:00000[æ0`Dk00p,:0-0:0MAIN=Computer0USERNAME=JohnDoe0USERPRO
FILE=C:\Users\JohnDoe0WATCOM=C:\watcom0windir=C:\Windows00?æ1+Ik?000S?000000
00000000000000000000000000000000000000000000000000000000000000000000000000000000
00??????????????????????????000000                          00000000 000000?0?0?
00000000000 0 0 ?0000000000 0000000000 0000 00000???????????????????????0???????
                        0        00000000000000000000000000000000000000000000000
000000000000000000abcdefghijklmnopqrstuvwxyz000000ABCDEFGHIJKLMNOPQRSTUVWXYZ0000
0000â000000Ü0£0P00000000000è0î0Ä 0000000000¬0000000000¦0000¦00000aßGpSsµtFTOd8fe
ä?:0ú?:0-?:0T?:0)?:0`?:0£?:0-?:0p?:0?:0??:0+?:08?:0T?:0¦?:0µ?:0²?:0¶?:03?:0D?:0R
?:0ä :0- :0+ :0a :0v :0?!:0^!:0q!:0ë!:0ñ!:0+!:0±!:0¤":0P":0g":0ó":0¦":0+":0¦":0?
#:0.#:0B#:0W#:0x#:0ë#:00000ALLUSERSPROFILE=C:\ProgramData0APPDATA=C:\Users\Chris
topher\AppData\Roaming0asl.log=Destination=file0CLASSPATH=.;C:\Program Files (x8
6)\Java\jre6\lib\ext\QTJava.zip0CommonProgramFiles=C:\Program Files (x86)\Common
 Files0CommonProgramFiles(x86)=C:\Program Files (x86)\Common Files0CommonProgram
W6432=C:\Program Files\Common Files0COMPUTERNAME=COMPUTER0ComSpec=C:\Windows\sys
tem32\cmd.exe0FPPUILang=en-US0FP_NO_HOST_CHECK=NO0HOMEDRIVE=C:0HOMEPATH=\Users\C
hristopher0HuluDesktopPath=C:\Users\JohnDoe\AppData\Local\HuluDesktop\instan
ces\0.9.13.1\HuluDesktop.exe0LOCALAPPDATA=C:\Users\JohnDoe\AppData\Local0LOG
ONSERVER=\\COMPUTER0NUMBER_OF_PROCESSORS=20OnlineServices=Online Services0OOBEUI
Lang=en-US0OS=Windows_NT0Path=.;F:\CodeBlocks\MinGW\bin;F:\CodeBlocks\MinGW;C:\M
inGW\bin;C:\MinGW;C:\Windows\System32;C:\Windows;C:\Windows\System32\wbem;C:\Pro
gram Files\Common Files\Microsoft Shared\Windows Live;C:\Program Files (x86)\Com
mon Files\Microsoft Shared\Windows Live;C:\Windows\System32\WindowsPowerShell\v1
.0;c:\Program Files (x86)\ATI Technologies\ATI.ACE\Core-Static;c:\Program Files
(x86)\Common F0Uô1m+k

我的代码并不漂亮，但它证明了我的观点。正如您所看到的，数据主要是垃圾值，但是从堆中抛出了一些有趣的字符串。

我的主要问题是为什么此操作不会导致内存访问冲突错误？

Answer 1

当您访问未映射的页面时，虚拟内存硬件会捕获内存访问冲突错误。并非每个超出界限的地址都在未映射的页面中。页面大小通常相同。典型的页面大小，如果是4096字节。（页面大小是特定于硬件的：一些芯片具有允许可编程页面大小的内存管理，甚至是不同页面大小的混合，用于不同的内存区域。）有时只有页面的一部分包含有效数据。只是页面的一个片段不可能被取消映射，因此也会映射包含垃圾的部分。此外，像malloc这样的内存管理器并不总是将内存返回给操作系统;他们保留免费区域以供重复使用。这些区域是有效的内存（映射页面）。另外，构建指针值，你可以通过侥幸，最终超越越界，并且可以“降落”在与有效对象相对应的内存中。

这就是它在PC上的工作原理，具有虚拟内存操作系统。虚拟内存并不是无处不在。在没有虚拟内存的计算机上（现在是小型嵌入式系统），您可以访问内存中的任何位置。但是，访问某些区域可能会产生改变硬件状态（即I / O寄存器）的副作用。某些地址范围可能会触发“总线错误”类型的CPU异常，因为该范围不存在硬件，因此访问请求超时。除此之外，就有效的程序存储器而言，它不受保护以免受越界访问。

没有记忆保护的操作系统被用于20世纪60年代的早期交互系统。当个人微型计算机出现时，历史就会重演：再次，由于存储器和CPU不够复杂，它们的操作系统没有内存保护。在这些操作系统上，应用程序经常在彼此的内存空间上踩踏，导致频繁的崩溃。（想象一下，使用memcpy，您不仅可以复制自己的越界区域，例如先前释放的某个malloc块，还可以复制完全不同的运行程序区域。）用户有时会发现模式就像某些程序按某些顺序加载到内存中一样，问题较少，或者应用程序之间存在所谓的“冲突”。

Answer 2

是的，它可以用于恶意目的，但不是你想象的方式。

您的应用程序读写的内存是您的进程的虚拟内存，它不是物理内存。您甚至无法知道您的物理内存或任何应用程序的实际内存地址，只有系统内核才知道。

如果没有适当的许可和使用系统调用，您无法与其他进程的活动内存进行交互。

你可以知道，读取曾经被其他进程使用的未映射内存区域中剩下的垃圾，你甚至可能偶然发现留在那里的敏感信息，比如密码，证书密钥或用户在某些时候输入的个人资料，但是你处于极不稳定的地位，那里的信息很可能已经破坏，没有简单的方法来寻找具体的信息。

以下是关于此的文章：https://security.stackexchange.com/questions/29019/are-passwords-stored-in-memory-safe

Answer 3

您不得尝试访问越界内存。
访问内存时，您无法访问未定义行为 任何事情都可能发生。

Answer 4

你可以偷窃＆＃34;记忆。但是，这不是你应该依赖的东西，而是根据它编写代码。

Answer 5

memcpy()没有进行任何边界检查，程序员必须处理它。在您的情况下，它会导致heap overflow。

这几乎总结了heap overflow的结果：
https://www.owasp.org/index.php/Heap_overflow

说明

堆溢出条件是缓冲区溢出，其中缓冲区可以被覆盖的是在内存的堆部分中分配的，通常意味着缓冲区是使用例程分配的作为POSIX malloc（）调用。

后果

可用性：缓冲区溢出通常会导致崩溃。其他攻击导致可用性不足，包括   将程序置于无限循环中。

访问控制（存储器和指令处理）：缓冲区溢出通常可用于执行任意代码，即   通常在程序的隐式安全策略范围之外。

其他：当后果是任意代码执行时，通常可以使用它来破坏任何其他安全服务。

避免和缓解

预设计：使用执行自动边界检查的语言或编译器。

设计：使用抽象库来抽象出有风险的API。不完整的解决方案。

通过构建进行预设计：Canary样式边界检查，确保块数据有效性的库更改以及其他此类修复   是可能的，但不应该依赖。

操作：使用操作系统级预防功能。不是一个完整的解决方案。

讨论

堆溢出通常和堆栈溢出一样危险。   除了重要的用户数据外，还可以使用堆溢出来覆盖   可能存在于内存中的函数指针，指向它   攻击者的代码。
  即使在没有明确使用的应用程序中   函数指针，运行时通常会在内存中留下很多。对于   例如，C ++中的对象方法通常使用   函数指针。即使在C程序中，通常也存在全局偏移   底层运行时使用的表。

Answer 6

要回答“为什么此操作不会导致内存访问冲突错误？”的问题，答案是因为naive分配区域中的内存已分配给进程。可能是C运行时为进一步可能的malloc()请求做好准备的内存。

在大多数桌面系统上，最小的内存保护单元是一个页面，其大小可能不同，但通常在4KB左右的范围内。如果您的读取请求较大（但仍然可能不是 - 堆可能比您的小分配大得多），您可能会遇到内存访问冲突。然后，您的分配可能接近页面结束并立即发出访问错误（调试分配器有时会有目的地帮助捕获错误）。

Answer 7

memcpy无法真实地用于恶意＆＃34;目的。 memcpy可以访问的唯一内存是属于您自己的进程的内存（无论如何都是您拥有的内存）。如果搞砸了自己的内存，你的程序就会失败，但操作系统会保护所有其他进程（如果没有mmap或类似的话，你就无法触及它们的内存空间。）

大多数＆＃34;有趣的字符串＆＃34;是由OS设置的环境变量并传递给您的程序。

Memcpy（）在越界内存上运行？

7 个答案: