Un modello integrato control-flow e data-flow per il rilevamento ...

3.1. Debolezze dei modelli esistenti 29
main
main
main.24
main
main.25
main
0x1234
main
1 2 3
g.11
msg
main.25
main
4 5 6
Figura 3.4: Passi dell’attacco al programma.
Ci rimane quindi la possibilità di attaccare il programma in modo da far assomigliare
la prima write alla seconda, facendole scrivere lo stesso messaggio. I passi per
ottenere questo risultato sono illustrati nella Figura 3.4 e descritti di seguito (si
veda ad esempio [1] per informazioni sulle convenzioni di chiamata in Unix/Intel):
1. è stato letto l’input da chiedi nome file(), quindi la read() è stata eseguita.
Lo stack contiene solo il frame di main()
2. la f() parte e fa il setup del suo frame
3. la strcpy() copia la stringa puntata da path in buf e sovrascrive il return
address di f().
conservato intatto
È essenziale che il valore del frame pointer sullo stack sia
4. la f() è ritornata, il suo frame è stato distrutto e sta per essere eseguito il
codice iniettato nel buffer
5. lo shellcode fa una push del return address per g() ed esegue:
push %ebp
mov %esp, %ebp
Il finto stack frame per g() è al suo posto
6. lo shellcode fa la push dell’indirizzo di uno qualsiasi dei messaggi considerati
validi per put msg() e del return address. Il punto di ritorno deve essere
nell’epilogo di g() e precisamente a mov %ebp, %esp (o leave). Rimane da