segmentation faultについて

Question

（またセキュリティコンテストチャレンジブックという本の内容からです。）
下記に書いたコードで標準入出力からバッファオーバーフローを引き起こし、指定の変数を書き換えif文内のコードを実行させたいのですが、Segmentation Faultがでてしまいif文内のコードが実行されず終了してします。(OSはlinux系を利用しています)

//bof2.c
#include<stdio.h>

int main(int argc, char *argv[])
{
	char buffer[10];
	int zero = 0;

	fgets(buffer, 64, stdin);
	printf("zero = %x\n", zero);
	if(zero == 0x12345678){
		printf("congrats!\n");
	}
	//printf("check!");

	return 0;
}

gcc -m32 -fno-stack-protector -o bof2 bof2.c
echo -e 'AAAAAAAAAA\x78\x56\x34\x12' | ./bof2

出力結果
zero = 12345678
Segmentation fault

ここで上記コードのコメントアウトしている箇所を追加すると、
下記のような出力結果となりif文内が実行され、追加した部分のprintf("check!");が実行される手前でSegmentation Faultによって終了されます。

出力結果
zero = 12345678
congrats!
Segmentation fault

このような動作になっている理由がわからない状況です。どなたかお願いします。

Answer 1

未定義の状態を経由するプログラムならば、状況依存としか回答できません。もしくは機械語とアセンブリを確認していかないとわかりません。

Answer 2

char buffer[10];
...
fgets(buffer, 64, stdin);

9文字分の領域しか無いのに63文字分読み込もうとして、バッファオーバーランを起こしています。

ここで上記コードのコメントアウトしている箇所を追加すると、...中略... 終了されます。このような動作になっている理由がわからない状況です。

未定義の動作を踏んでいるので、何が起こっても不思議ではありません。

セキュリティコンテストチャレンジブックという本の内容からです。

セキュリティ上問題の有るコードとして紹介されているのでは？

Comments

[konataro]

読んでいた(この本の）pwnの章では、ユーザー入力を扱う関数scanfやfgetsがバッファオーバーフローの脆弱性に繋がることを利用して、EIPレジスタの内容書き換えるエクスプロイトを行うことを方針に説明しているようです。

未定義の動作ですが、64バイト分の入力をできるようにして10バイトの配列を埋めて、そこからメモリのスタック上に連続して配置されているzero変数の内容を書き換える動作というのは結果からわかりました。

この場合のセグメンテーション違反は許可されてないメモリアドレスに対して不正にアクセス？（または、書き換えを）をおこなったからなのでしょうか。

（最後に、追記もしますがここで利用しているOSはlinuxです。）

すいません、追記です。
メモリ配置の時、アドレスのランダム化はさせないようにしています。

[LouiS0616]

言語仕様上は、未定義の動作を踏んだ際の挙動は一切説明できません。
マシンに依っては毎度同じ状態が再現されるかもしれませんが、これはコンパイラの実装に依るものです。

そして実際に吐かれたアセンブリを解析する、あるいは状況からメモリの状態を類推するスキルは私には無いです。悪しからず。

> この場合のセグメンテーション違反は許可されてないメモリアドレスに対して不正にアクセス？（または、書き換えを）をおこなったからなのでしょうか。

はい。