1.Linux下进程地址空间的布局及堆栈帧的结构 任何一个程序通常都包括代码段和数据段，这些代码和数据本身都是静态的。程 序要想运行，首先要由操作系统负责为其创建进程，并在进程的虚拟地址空间中 为其代码段和数据段建立映射。光有代码段和数据段是不够的，进程在运行过程 中还要有其动态环境，其中最重要的就是堆栈。图3所示为Liux下进程的地 址空间布局： 图3 Linux下进程地址空间的布局 存放命令行参数及环境变量 高地址 stack heap bss 由3ecwg2)清零 data- 由eCg2)建立映射 低地址 text 首先，execve(2)会负责为进程代码段和数据段建立映射，真正将代码段和数据 段的内容读入内存是由系统的缺页异常处理程序按需完成的。另外，execve(2) 还会将bss段清零，这就是为什么未赋初值的全局变量以及static变量其初值 为零的原因。进程用户空间的最高位置是用来存放程序运行时的命令行参数及环 境变量的，在这段地址空间的下方和bss段的上方还留有一个很大的空洞，而作 为进程动态运行环境的堆栈和堆就栖身其中，其中堆栈向下伸展，堆向上伸展。 知道了堆栈在进程地址空间中的位置，我们再来看一看堆栈中都存放了什么。相 信读者对C语言中的函数这样的概念都已经很熟悉了，实际上堆栈中存放的就是 与每个函数对应的堆栈帧。当函数调用发生时，新的堆栈帧被压入堆栈；当函数 返回时，相应的堆栈帧从堆栈中弹出。典型的堆栈帧结构如图4所示。 堆栈帧的顶部为函数的实参，下面是函数的返回地址以及前一个堆栈帧的指针， 最下面是分配给函数的局部变量使用的空间。一个堆栈帧通常都有两个指针，其 中一个称为堆栈帧指针，另一个称为栈顶指针。前者所指向的位置是固定的，而 后者所指向的位置在函数的运行过程中可变。因此，在函数中访问实参和局部 变量时都是以堆栈帧指针为基址，再加上一个偏移。对照图4可知，实参的偏移 为正，局部变量的偏移为负
1. Linux 下进程地址空间的布局及堆栈帧的结构 任何一个程序通常都包括代码段和数据段，这些代码和数据本身都是静态的。程 序要想运行，首先要由操作系统负责为其创建进程，并在进程的虚拟地址空间中 为其代码段和数据段建立映射。光有代码段和数据段是不够的，进程在运行过程 中还要有其动态环境，其中最重要的就是堆栈。图 3 所示为 Linux 下进程的地 址空间布局： 图 3 Linux 下进程地址空间的布局 首先，execve(2)会负责为进程代码段和数据段建立映射，真正将代码段和数据 段的内容读入内存是由系统的缺页异常处理程序按需完成的。另外，execve(2) 还会将 bss 段清零，这就是为什么未赋初值的全局变量以及 static 变量其初值 为零的原因。进程用户空间的最高位置是用来存放程序运行时的命令行参数及环 境变量的，在这段地址空间的下方和 bss 段的上方还留有一个很大的空洞，而作 为进程动态运行环境的堆栈和堆就栖身其中， 其中堆栈向下伸展，堆向上伸展。 知道了堆栈在进程地址空间中的位置，我们再来看一看堆栈中都存放了什么。相 信读者对 C 语言中的函数这样的概念都已经很熟悉了，实际上堆栈中存放的就是 与每个函数对应的堆栈帧。当函数调用发生时，新的堆栈帧被压入堆栈；当函数 返回时，相应的堆栈帧从堆栈中弹出。典型的堆栈帧结构如图 4 所 示。 堆栈帧的顶部为函数的实参，下面是函数的返回地址以及前一个堆栈帧的指针， 最下面是分配给函数的局部变量使用的空间。一个堆栈帧通常都有两个指针，其 中一个称为堆栈帧指针，另一个称为栈顶指针。前者所指向的位置是固定的，而 后者所指向的位置在函数的运行过程中可变。因此，在函数中访问实 参和局部 变量时都是以堆栈帧指针为基址，再加上一个偏移。对照图 4 可知，实参的偏移 为正，局部变量的偏移为负
图4典型的堆栈帧结构 Argument n 偏移为正 函数的实参 Argument 1 Return address 恢复前一个堆栈帧 Previous frame pointer 所必需的数据 堆栈帧指针 Local variable 1 Local variable 2 偏移为负 Local variable 3 函数的局部变量 …… Local variable n 栈顶指针 介绍了堆栈帧的结构，我们再来看一下在Intel i386体系结构上堆栈帧是如何 实现的。图5和图6分别是一个简单的C程序及其编译后生成的汇编程序。 图5一个简单的C程序examplel.c int function(int a,int b,int c) char buffer[14]; int sum; sum a b c; return sum; } void main() int i; i=function(1,2,3); 图6 examplel..c编译后生成的汇编程序examplel.s 1 file "examplel.c" 2 version "01.01" 3 gcc2_compiled.: 4.text
图 4 典型的堆栈帧结构 介绍了堆栈帧的结构，我们再来看一下在 Intel i386 体系结构上堆栈帧是如何 实现的。图 5 和图 6 分别是一个简单的 C 程序及其编译后生成的汇编程序。 图 5 一个简单的 C 程序 example1.c int function(int a, int b, int c) { char buffer[14]; int sum; sum = a + b + c; return sum; } void main() { int i; i = function(1,2,3); } 图 6 example1.c 编译后生成的汇编程序 example1.s 1 .file "example1.c" 2 .version "01.01" 3 gcc2_compiled.: 4 .text
5 align 4 6.globl function 7 type function,@function 8 function: 9 pushl %ebp 10 movl %esp,%ebp 11 subl $20,%esp 12 mov1 8(%ebp),%eax 13 addl 12(%ebp),%eax 14 movl 16(%ebp),%edx 15 addl %eax,%edx 16 movl %edx,-20(%ebp) 17 movl -20(%ebp),%eax 18 jmp .L1 19 align 4 20.L1: 21 leave 22 ret 23.Lfe1: 24 size function,.Lfel-function 25 align 4 26.globl main 27 type main,@function 28 main: 29 pushl %ebp 30 movl %esp,%ebp 31 subl $4,%esp 32 pushl $3 33 pushl $2 34 pushl $1 35 call function 36 addl $12,%esp 37 movl %eax,%eax 38 movl %eax,-4(%ebp) 39.L2: 40 leave 41 ret 42.Lfe2: 43 .size main,.Lfe2-main 44 ident "GCC:(GNU)2.7.2.3" 这里我们着重关心一下与函数function对应的堆栈帧形成和销毁的过程。从图 5中可以看到，function是在main中被调用的，三个实参的值分别为1、2、3
5 .align 4 6 .globl function 7 .type function,@function 8 function: 9 pushl %ebp 10 movl %esp,%ebp 11 subl $20,%esp 12 movl 8(%ebp),%eax 13 addl 12(%ebp),%eax 14 movl 16(%ebp),%edx 15 addl %eax,%edx 16 movl %edx,-20(%ebp) 17 movl -20(%ebp),%eax 18 jmp .L1 19 .align 4 20 .L1: 21 leave 22 ret 23 .Lfe1: 24 .size function,.Lfe1-function 25 .align 4 26 .globl main 27 .type main,@function 28 main: 29 pushl %ebp 30 movl %esp,%ebp 31 subl $4,%esp 32 pushl $3 33 pushl $2 34 pushl $1 35 call function 36 addl $12,%esp 37 movl %eax,%eax 38 movl %eax,-4(%ebp) 39 .L2: 40 leave 41 ret 42 .Lfe2: 43 .size main,.Lfe2-main 44 .ident "GCC: (GNU) 2.7.2.3" 这里我们着重关心一下与函数 function 对应的堆栈帧形成和销毁的过程。从图 5 中可以看到，function 是在 main 中被调用 的，三个实参的值分别为 1、2、3
由于C语言中函数传参遵循反向压栈顺序，所以在图6中32至34行三个实参从 右向左依次被压入堆栈。接下来35行的call指令除了将控制转移到function 之外，还要将cal1的下一条指令addl的地址，也就是function函数的返回地 址压入堆栈。下面就进入function函数了，首先在第9行将main函数的堆栈 帧指针ebp保存在堆栈中并在第I0行将当前的栈顶指针esp保存在堆栈帧指针 ebp中，最后在第l1行为function函数的局部变量buffer[14]和sum在堆栈 中分配空间。至此，函数function的堆栈帧就构建完成了，其结构如图7所示。 图7函数function的堆栈帧 16 3 偏移为正 12 2 function的实参 8 1 4 address of addl 恢复main函做的堆栈帧 0 previous ebp 所必需的数据 ebp buffer[12-13] 偏移为负 -8 buffer[8-11] buffer[4-7] function的局部变量 -12 ~l6 buffer[0-3] -20 sum esp 读者不妨回过头去与图4对比一下。这里有几点需要说明。首先，在Intel i386 体系结构下，堆栈帧指针的角色是由ebp扮演的，而栈顶指针的角色是由esp 扮演的。另外，函数function的局部变量buffer[14]由14个字符组成，其大 小按说应为14字节，但是在堆栈帧中却为其分配了16个字节。这是时间效率和 空间效率之间的一种折衷，因为Intel i386是32位的处理器，其每次内存访问 都必须是4字节对齐的，而高30位地址相同的4个字节就构成了一个机器字。 因此，如果为了填补buffer[14]留下的两个字节而将sum分配在两个不同的机 器字中，那么每次访问sum就需要两次内存操作，这显然是无法接受的。还有一 点需要说明的是，正如我们在本文前言中所指出的，如果读者使用的是较高版 本的gcc的话，您所看到的函数function对应的堆栈帧可能和图7所示有所不 同。上面己经讲过，为函数function的局部变量buffer[14]和sum在堆栈中 分配空间是通过在图6中第11行对esp进行减法操作完成的，而sub指令中的 20正是这里两个局部变量所需的存储空间大小。但是在较高版本的gcc中，sub 指令中出现的数字可能不是20，而是一个更大的数字。应该说这与优化编译技 术有关，在较高版本的g℃C中为了有效运用目前流行的各种优化编译技术，通常 需要在每个函数的堆栈帧中留出一定额外的空间
由于 C 语言中函数传参遵循反向压栈顺序，所以在图 6 中 32 至 34 行三个实参从 右向左依次被压入堆栈。接下来 35 行的 call 指令除了将控制转移到 function 之外，还要将 call 的下一条指令 addl 的地址，也就是 function 函数的返回地 址压入堆栈。下面就 进入 function 函数了，首先在第 9 行将 main 函数的堆栈 帧指针 ebp 保存在堆栈中并在第 10 行将当前的栈顶指针 esp 保存在堆栈帧指针 ebp 中， 最后在第 11 行为 function 函数的局部变量 buffer[14]和 sum 在堆栈 中分配空间。至此，函数 function 的堆栈帧就构建完成了，其结 构如图 7 所示。 图 7 函数 function 的堆栈帧 读者不妨回过头去与图 4 对比一下。这里有几点需要说明。首先，在 Intel i386 体系结构下，堆栈帧指针的角色是由 ebp 扮演的，而栈顶指针的角色是由 esp 扮演的。另外，函数 function 的局部变量 buffer[14] 由 14 个字符组成，其大 小按说应为 14 字节，但是在堆栈帧中却为其分配了 16 个字节。这是时间效率和 空间效率之间的一种折衷，因为 Intel i386 是 32 位的处理器，其每次内存访问 都必须是 4 字节对齐的，而高 30 位地址相同的 4 个字节就构成了一个机器字。 因此，如果为了填补 buffer[14]留下的两个字节而将 sum 分配在两个不同的机 器字中，那么每次访问 sum 就需要两次内存操作，这显然是无法接受的。还有一 点需要说明 的是，正如我们在本文前言中所指出的，如果读者使用的是较高版 本的 gcc 的话，您所看到的函数 function 对应的堆栈帧可能和图 7 所示有所不 同。上面 已经讲过，为函数 function 的局部变量 buffer[14]和 sum 在堆栈中 分配空间是通过在图 6 中第 11 行对 esp 进行减法操作完成的，而 sub 指令中的 20 正是这里两个局部变量所需的存储空间大小。但是在较高版本的 gcc 中，sub 指令中出现的数字可能不是 20，而是一个更大的数字。应该说这与 优化编译技 术有关，在较高版本的 gcc 中为了有效运用目前流行的各种优化编译技术，通常 需要在每个函数的堆栈帧中留出一定额外的空间
下面我们再来看一下在函数function中是如何将a、b、c的和赋给sum的。前 面已经提过，在函数中访问实参和局部变量时都是以堆栈帧指针为基址，再加 上一个偏移，而Intel i386体系结构下的堆栈帧指针就是ebp,为了清楚起见， 我们在图7中标出了堆栈帧中所有成分相对于堆栈帧指针bp的偏移。这下图6 中12至16的计算就一目了然了，8(%ebp)、12(%ebp)、16(%ebp)和-20(%ebp) 分别是实参a、b、c和局部变量sum的地址，几个简单的add指令和mov指令 执行后sum中便是a、b、c三者之和了。另外，在gcc编译生成的汇编程序中函 数的返回结果是通过eax传递的，因此在图6中第I7行将sum的值拷贝到eax 中。 最后，我们再来看一下函数function执行完之后与其对应的堆栈帧是如何弹出 堆栈的。图6中第21行的leave指令将堆栈帧指针ebp拷贝到esp中，于是在 堆栈帧中为局部变量buffer[14]和sum分配的空间就被释放了；除此之外，leave 指令还有一个功能，就是从堆栈中弹出一个机器字并将其存放到ebp中，这样 ebp就被恢复为main函数的堆栈帧指针了。第22行的ret指令再次从堆栈中弹 出一个机器字并将其存放到指令指针eip中，这样控制就返回到了第36行main 函数中的addl指令处。addl指令将栈顶指针esp加上l2,于是当初调用函数 function之前压入堆栈的三个实参所占用的堆栈空间也被释放掉了。至此，函 数function的堆栈帧就被完全销毁了。前面刚刚提到过，在gcc编译生成的汇 编程序中通过eax传递函数的返回结果，因此图6中第38行将函数function 的返回结果保存在了main函数的局部变量i中。 2.Linux下缓冲区溢出攻击的原理--改变程序控制流 明白了Liux下进程地址空间的布局以及堆栈帧的结构，我们再来看一个有趣的 例子。 图8一个奇妙的程序example2.c 1 int function(int a,int b,int c){ 2 char buffer[14]; 3 int sum; 4 int *ret; 5 6 ret buffer 20; 7 (*ret)+=10; 8 sum a b c; 9 return sum; 10} 11 12 void main(){ 13 int x;
下面我们再来看一下在函数 function 中是如何将 a、b、c 的和赋给 sum 的。前 面已经提过，在函数中访问实参和局部变量时都是以 堆栈帧指针为基址，再加 上一个偏移，而 Intel i386 体系结构下的堆栈帧指针就是 ebp，为了清楚起见， 我们在图 7 中标出了堆栈帧中所有成分相对于堆栈帧指针 ebp 的偏移。这下图 6 中 12 至 16 的计 算就一目了然了，8(%ebp)、12(%ebp)、16(%ebp)和-20(%ebp) 分别是实参 a、b、c 和局部变量 sum 的地址，几个简单的 add 指令和 mov 指令 执行后 sum 中便是 a、b、c 三者之和了。另外，在 gcc 编译生成的汇编程序中函 数的返回结果是通过 eax 传递的，因此在图 6 中第 17 行将 sum 的值拷贝到 eax 中。 最后，我们再来看一下函数 function 执行完之后与其对应的堆栈帧是如何弹出 堆栈的。图 6 中第 21 行的 leave 指令将堆栈帧指针 ebp 拷贝到 esp 中，于是在 堆栈帧中为局部变量 buffer[14]和 sum 分配的空间就被释放了；除此之外，leave 指令还有一个功能，就是从堆栈 中弹出一个机器字并将其存放到 ebp 中，这样 ebp 就被恢复为 main 函数的堆栈帧指针了。第 22 行的 ret 指令再次从堆栈中弹 出一个机器字并将其存放到 指令指针 eip 中，这样控制就返回到了第 36 行 main 函数中的 addl 指令处。addl 指令将栈顶指针 esp 加上 12，于是当初调用函数 function 之前压入堆栈的三个实参所占用的堆栈空间也被释放掉了。至此，函 数 function 的堆栈帧就被完全销毁了。前面刚刚提到过，在 gcc 编 译生成的汇 编程序中通过 eax 传递函数的返回结果，因此图 6 中第 38 行将函数 function 的返回结果保存在了 main 函数的局部变量 i 中。 2. Linux 下缓冲区溢出攻击的原理---改变程序控制流 明白了 Linux 下进程地址空间的布局以及堆栈帧的结构，我们再来看一个有趣的 例子。 图 8 一个奇妙的程序 example2.c 1 int function(int a, int b, int c) { 2 char buffer[14]; 3 int sum; 4 int *ret; 5 6 ret = buffer + 20; 7 (*ret) += 10; 8 sum = a + b + c; 9 return sum; 10 } 11 12 void main() { 13 int x;