缓冲区溢出

Question

我已经在网上搜索了几天，但仍然无法弄清楚以下代码的漏洞是什么。 我的第一个想法是我们可以对 int 'length' 进行溢出，然后进行缓冲区溢出利用来复制 shell 代码并将地址返回到缓冲区。然而，代码中的“长度”大小正在防止缓冲区溢出。任何人都可以阐明如何利用这个程序吗？非常感谢！

void copy_str(char *buffer2, int buffer2_l, char *input)
{
   int i, length;

   length = strlen(input);
   if (length > buffer2_l)
     length = buffer2_l;

   for (i = 0; i <= **length**; i++)
       buffer2[i] = input[i];
}

void vul2(char *arg)
{
  char buffer[109];

  copy_str(buffer, sizeof buffer, arg);
 }

void vul1(char *argv[])
{
   vul2(argv[1]);
}
int main(int argc, char *argv[])
{
  if (argc != 2)
    {
      fprintf(stderr, "program2: argc != 2\n");
      exit(EXIT_FAILURE);
    }
  vul1(argv);
  return 0;
}

Answer 1

如果 argv[1] 是 109 个字符或更长，您将超出 buffer 1 个 char，因为您使用 <= 进行长度比较。