Zahn - Unix-Netzwerkprogramminerung mit Threads, Sockets und SSL

2.3 Buffer-Overflows und Format-String-Schwachstellen 49
11–14
16–20
Benutzernamens. 9 Der Längenangabe für das Feld liegt die Annahme zugrunde,
daß ein Unix-Username nicht länger als acht Zeichen ist. Dies ist ein weiterer
Mangel des Beispielprogramms, denn der Puffer enthält damit nicht
genügend Platz für einen Benutzernamen mit acht Zeichen und das für Zeichenketten
obligatorische abschließende Null-Zeichen. Selbst wenn das Hauptprogramm
also nur Usernamen mit maximal acht Zeichen Länge akzeptieren
würde, wäre in der Puffervariable buffer nicht genügend Platz.
Als erstes werden in der Funktion dann die Adressen der Variablen ok und
buffer ausgegeben. Dies dient lediglich dem besseren Verständnis der Problematik.
Danach wird die übergebene Zeichenkette user mit der Funktion
strcpy() in der Variable buffer zwischengespeichert. Beachten Sie, daß
auch bei strcpy() keine Längenüberprüfung von Quelle oder Ziel stattfindet.
Es wird also versucht, einen prinzipiell beliebig langen Text in einem Zwischenspeicher
von acht Zeichen Länge unterzubringen. Im Bedarfsfall, falls
also der Inhalt von user länger als acht Zeichen (inklusive terminierendes
Null-Zeichen) ist, wird rücksichtslos über das Ende von buffer hinaus weiter
geschrieben, der Buffer-Overflow nimmt seinen Lauf.
Anschließend wird über die Funktion getpwnam() versucht, den in den Zwischenspeicher
kopierten Usernamen in der Benutzerdatenbank des Systems
ausfindig zu machen. Liefert getpwnam() einen Null-Zeiger zurück, konnte
der angegebene Benutzer nicht gefunden werden, ok bleibt unverändert. Andernfalls
wird die Variable ok auf 1 gesetzt, die Operation war erfolgreich.
Schließlich wird der Inhalt von ok an das Hauptprogramm zurück gegeben.
Nachdem wir die prinzipielle Natur eines Buffer-Overflows verstanden haben,
wollen wir uns mit einigen Testläufen die konkreten Auswirkungen für das
Testprogramm aus Beispiel 2.10 und 2.11 ansehen. Zunächst starten wir das
Programm mit einem existierenden Benutzer mit kurzem Usernamen als erstes
Argument:
$ ./overflow zahn
Startadresse von ok: 2ff22708
Startadresse von buffer: 2ff22700
Alles klar. User zahn existiert.
Das Ergebnis entspricht genau unseren Erwartungen. Der angegebene Username
ist dem System bekannt. Die Startadresse von buffer ist kleiner als die
Startadresse von ok. 10 Die vier Zeichen des Benutzernamens finden samt Null-
Zeichen zum Abschluß der Zeichenkette spielend in der acht Zeichen großen
Puffer-Variable buffer Platz.
9 Es ist natürlich offensichtlich, daß diese Variable in diesem konstruierten Beispiel
lediglich zu Demonstrationszwecken benötigt wird.
10 Sollte dies bei Ihrem Testlauf gerade anders herum sein, so vertauschen Sie für
die weiteren Tests bitte die beiden Variablenvereinbarungen von buffer und ok
miteinander und übersetzen das Programm danach neu. Jetzt sollte auch bei
Ihnen die Startadresse von buffer kleiner sein als die von ok.