Un modello integrato control-flow e data-flow per il rilevamento ...

30 3. Un modello che integra control flow e data flow
eseguire:
jmp put msg
A questo punto avviene la write con l’esatto stack che l’IDS si aspetta e dunque
non viene segnalata come non valida. Terminata la put msg() viene distrutto il suo
stack frame e viene passato il controllo al codice dell’epilogo di g(), che distrugge
il relativo frame. Il controllo infine torna al main(), dove verrà eseguita la seconda
chiamata di put msg().
Per poter ricostruire lo stack però è necessario ottenere alcune informazioni, in
particolare i return address delle procedure coinvolte. Nel nostro esempio vogliamo
simulare la prima write , quindi lo stack da ricostruire è:
[main.22|g.10|put_msg.5|write]
La prima informazione che ci serve è il punto in cui ritorna g quando è chiamata
dalla riga 22 di main:
(gdb) disas main
Dump of assembler code for function main:
0x00001fc7 : push %ebp
0x00001fc8 : mov %esp,%ebp
0x00001fca : push %ebx
0x00001fcb : sub $0x14,%esp
0x00001fce : call 0x1fd3
0x00001fd3 : pop %ebx
0x00001fd4 : call 0x1fae
0x00001fd9 : call 0x1f8d
0x00001fde : lea 0x26(%ebx),%eax ;