Memory Corruption: Stack Buffer Overflow

💡 스택 오버플로우와 스택 버퍼 오버 플로우의 차이점
스택 영역은 실행중에 크기가 동적으로 확장될 수 있다. 그러나 한정된 크기의 메모리 안에서 스택이 무한히 확장될 수는 없다. 스택 오버플로우(Stack Overflow)는 스택 영역이 너무 많이 확장되어 발생하는 버그를 뜻한다.

반면, 스택 버퍼 오버플로우는 스택에 위치한 버퍼에 버퍼의 크기보다 많은 데이터가 입력되어 발생하는 버그를 뜻한다. 용어가 비슷하여 혼동하기 쉽지만, 이 둘은 전혀 다른 의미를 가지고 있으므로 사용에 주의해야 한다.

스택 버퍼 오버플로우

(1) 버퍼 오버플로우

: 스택의 버퍼에서 발생하는 오버플로우

 

✅ 버퍼 

- 데이터가 목적지로 이동되기 전에 보관되는 임시 저장소

- 데이터의 처리속도가 다른 두 장치가 있을 때, 이 둘 사이에 오가는 데이터를 임시로 저장해 두는 것은 일종의 완충 작용을 함

- 버퍼가 가득 찰 때까지는 유실되는 데이터 없이 통신할 수 있음

- 빠른 속도로 이동하던 데이터가 안정적으로 목적지에 도달할 수 있도록 완충 작용을 하는 것이 버퍼의 역할

 

→ 현대에는 이러한 의미가 많이 희석되어 데이터가 저장될 수 있는 모든 단위를 버퍼라고 부르기도 함

▶ 스택에 있는 지역 변수는 ‘스택 버퍼’, 힙에 할당된 메모리 영역은 '힙 버퍼'

 

✅ 버퍼 오버플로우 

문자 그대로 버퍼가 넘치는 것을 의미한다. 버퍼는 제각기 크기를 가지고 있으므로 특정 자료형 크기의 버퍼에 해당 자료형보다 더 큰 버퍼의 크기가 들어갈 경우 버퍼가 넘치는 즉, 오버플로우 현상이 발생한다.

 

버퍼 오버플로우로 인한 메모리 오염

일반적으로 버퍼는 메모리상에서 연속해서 할당되어 있으므로, 어떤 버퍼는 오버플로우가 발생할 경우 뒤에 있는 버퍼들의 값이 조작될 위험이 있다. 

 

(2) 중요 데이터 변조

버퍼 오버플로우가 발생하는 버퍼 뒤에 중요한 데이터가 있다면, 해당 데이터가 변조됨으로써 문제가 발생할 수 있다. 예를 들어, 입력 데이터에서 악성 데이터를 감지하여 경고해주는 프로그램이 있을 때, 악성의 조건이 변경되면 악성 데이터에도 알람이 울리지 않을 수 있음

 

✅ 스택 버퍼 오버플로우 예제

// Name: sbof_auth.c
// Compile: gcc -o sbof_auth sbof_auth.c -fno-stack-protector
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
int check_auth(char *password) {
    int auth = 0;
    char temp[16];
    
    strncpy(temp, password, strlen(password));
    
    if(!strcmp(temp, "SECRET_PASSWORD"))
        auth = 1;
    
    return auth;
}
int main(int argc, char *argv[]) {
    if (argc != 2) {
        printf("Usage: ./sbof_auth ADMIN_PASSWORD\n");
        exit(-1);
    }
    
    if (check_auth(argv[1]))
        printf("Hello Admin!\n");
    else
        printf("Access Denied!\n");
}​

 

💡 sbof_auth.c 예제 분석 
1) main 함수
- argv[1]을 check_auth 함수의 인자로 전달한 후 반환 값을 받아옴
- 반환 값이 0이 아니라면 "Hello Admin!"을, 0이라면 "Access Denied!"라는 문자열을 출력

2) check_auth 함수
- 16바이트 크기의 temp 버퍼에 입력받은 패스워드를 복사한 후 이를 "SECRET_PASSWORD" 문자열과 비교
- 문자열이 같다면 auth를 1로 설정하고 반환

3) check_auth
- strncpy 함수를 통해 temp버퍼를 복사할 때, temp의 크기인 16 바이트가 아닌 인자로 전달된 password의 크기만큼 복사
- argv[1]에 16 바이트가 넘는 문자열을 전달하면, 이들이 모두 복사되어 스택 버퍼 오버플로우가 발생

4) auth
- auth는 temp버퍼의 뒤에 존재하므로, temp버퍼에 오버플로우를 발생시키면 auth의 값을 0이 아닌 임의의 값으로 바꿀 수 있음
- 이 경우, 실제 인증 여부와는 상관없이 main함수의 if(check_auth(argv[1])) 는 항상 참이 됨

 

(3) 데이터 유출

C언어에서 정상적인 문자열은 널바이트로 종결되며, 표준 문자열 출력 함수들은 널바이트를 문자열의 끝으로 인식한다. 만약 어떤 버퍼에 오버플로우를 발생시켜서 다른 버퍼와의 사이에 있는 널바이트를 모두 제거하면, 해당 버퍼를 출력시켜서 다른 버퍼의 데이터를 읽을 수 있다. 획득한 데이터는 각종 보호기법을 우회하는데 사용될 수 있으며, 해당 데이터 자체가 중요한 정보일 수도 있다.

 

✅ 스택 버퍼 오버플로우 메모리 릭 예제

// Name: sbof_leak.c
// Compile: gcc -o sbof_leak sbof_leak.c -fno-stack-protector
#include <stdio.h>
#include <string.h>
#include <unistd.h>
int main(void) {
  char secret[16] = "secret message";
  char barrier[4] = {};
  char name[8] = {};
  memset(barrier, 0, 4);
  printf("Your name: ");
  read(0, name, 12);
  printf("Your name is %s.", name);
}​

 

위 예제의 경우 8바이트 크기의 name 버퍼에 12바이트의 입력을 받는다. 읽고자 하는 데이터인 secret버퍼와의 사이에 barrier라는 4바이트의 널 배열이 존재하는데, 오버플로우를 이용하여 널 바이트를 모두 다른 값으로 변경하면 secret을 읽을 수 있다.

 

(4) 실행 흐름 조작

Calling Convention은 함수를 호출할 때 반환 주소를 스택에 쌓고, 함수에서 반환될 때 이를 꺼내어 원래의 실행 흐름으로 돌아간다. 이를 공격자의 관점에서 바라보면, '스택 버퍼 오버플로우로 반환 주소(Return Address)를 조작하면 어떻게 될까'하는 궁금증을 가져볼 수 있습니다. 그리고 실제로, 함수의 반환 주소를 조작하면 프로세스의 실행 흐름을 바꿀 수 있다.

 

✅ 스택 버퍼 오버플로우를 통한 반환 주소 덮어쓰기

// Name: sbof_ret_overwrite.c
// Compile: gcc -o sbof_ret_overwrite sbof_ret_overwrite.c -fno-stack-protector
#include <stdio.h>
#include <stdlib.h>
int main(void) {
    char buf[8];
    printf("Overwrite return address with 0x4141414141414141: ");
    gets(buf);
    return 0;
}​

 

위 예제를 실행하여 main 함수의 반환 주소를 0x4141414141414141로 변경해보세요. “Success!”라는 문자열이 출력되는 것을 확인할 수 있을 것이다.

 

 

 

출처 : 드림핵 시스템해킹 로드맵 (https://dreamhack.io/lecture/roadmaps/2)