棧緩衝區溢出

棧緩衝區溢出（stack buffer overflow或stack buffer overrun）是電腦程式把數據寫入調用棧上的內存時超出了數據結構的邊界。棧緩衝區溢出是緩衝區溢出的一種。 這會損壞相鄰數據的值，引發程序崩潰或者修改了函數返回地址從而導致執行惡意的程序。這種攻擊方式稱為stack smashing。可被用於注入可執行代碼、接管進程的執行。是最為古老的黑客攻擊行為之一。

例子

下例可用於覆蓋函數返回地址。 通過函數 strcpy() :

#include <string.h>

void foo (char *bar)
{
   char  c[12];

   strcpy(c, bar);  // no bounds checking
}

int main (int argc, char **argv)
{
   foo(argv[1]);

   return 0;
}

當命令行參數少於12個字符時（例子B時）該程序是安全的。

foo()函數的不同輸入下的調用棧:

A. - Before data is copied.

B. - "hello" is the first command line argument.

C. - "A​A​A​A​A​A​A​A​A​A​A​A​A​A​A​A​A​A​A​A​\x08​\x35​\xC0​\x80" is the first command line argument.

例子C中, 命令行參數多於11個字符，導致foo()覆蓋了本地調用棧的數據、存儲的棧指針（EBP）以及最重要的返回地址。

攻擊也可以修改內部變量值：

#include <string.h>
#include <stdio.h>

void foo (char *bar)
{
   float My_Float = 10.5; // Addr = 0x0023FF4C
   char  c[28];           // Addr = 0x0023FF30

   // Will print 10.500000
   printf("My Float value = %f\n", My_Float);

    /* ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
       Memory map:
       @ : c allocated memory
       # : My_Float allocated memory

           *c                      *My_Float
       0x0023FF30                  0x0023FF4C
           |                           |
           @@@@@@@@@@@@@@@@@@@@@@@@@@@@#####
      foo("my string is too long !!!!! XXXXX");

   memcpy will put 0x1010C042 (little endian) in My_Float value.
   ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~*/

   memcpy(c, bar, strlen(bar));  // no bounds checking...

   // Will print 96.031372
   printf("My Float value = %f\n", My_Float);
}

int main (int argc, char **argv)
{
   foo("my string is too long !!!!! \x10\x10\xc0\x42");
   return 0;
}

保護方式

常用三種方式來對抗棧緩衝區溢出攻擊。

檢查棧緩衝區溢出的發生

棧的警惕標誌（stack canary），得名於煤礦里的金絲雀，用於探測該災難的發生。具體辦法是在棧的返回地址的存儲位置之前放置一個整形值，該值在裝入程序時隨機確定。棧緩衝區攻擊時從低地址向高地址覆蓋棧空間，因此會在覆蓋返回地址之前就覆蓋了警惕標誌。返回返回前會檢查該警惕標誌是否被篡改。

棧數據不可執行

採取了「寫異或執行」策略（W^X, "Write XOR Execute"），即內存要麼可寫，要麼可執行，但二者不能兼得。這是最常用的方法，大部分桌面處理器都硬件支持不可執行標誌（no-execute flag）。

著名例子

• 莫里斯蠕蟲針對Unix finger 伺服器.[1] （頁面存檔備份，存於互聯網檔案館）
• Witty worm .[2]
• Slammer worm針對Microsoft SQL Server.[3] （頁面存檔備份，存於互聯網檔案館）
• 衝擊波蠕蟲 針對微軟的DCOM 服務.
• Twilight hack針對Wii