windows_字符串溢出

这里展示字符串溢出的原理。
首先，在visual studio 2022写入以下代码：

#define _CRT_SECURE_NO_WARNINGS
#include<Windows.h>
#include<iostream>

int check_password(const char* password)
{
	int result = 1;
	char buff[7]{ 0 };
	result = strcmp(password, "s_hook");
	strcpy(buff, password);
	return result;
}

int main()
{
	int flag = 0;
	char password[500]{ 0 };
	while (1)
	{
		printf("Input password:");
		scanf("%s", password);
		flag = check_password(password);
		if (flag)
		{
			MessageBoxA(0, "Password ERROR!", "Attention", MB_OK);
		}
		else
		{
			MessageBoxA(0, "Password Correct!", "Attention", MB_OK);
		}
	}
}

同时，右击项目，我们要做一下编译设置：

编译平台可以自己设置其他的看看结果。

首先来分析一下程序执行的逻辑，我们采用x32dbg调试器进行调试：
首先把生成的exe文件拖入调试器：

程序会在这里断下来，按F8跳过call，然后F7进入jmp。

F7以后，往下找，就能找到main函数了：

打断点，进去。

找到我们的check函数，F7进去。记得输入字符串（先随便输入，之后知道怎么构造溢出了再重新玩就行）

先执行几条语句，可以得到目前的ebp值：

点击一下下面的内存窗口，然后按ctrl+G，把ebp的值粘贴进去，跳转，就能看到内存的模样。（虽然没有开随机基址保护，但是每重启一次电脑这个地址都会变化）

由汇编的知识可以知道，sub esp,C 这条语句，就是为了开辟局部变量。为什么是C呢，我们只有char[7]和一个int，这是因为加上内存对齐了。因此，dword ptr [ebp+4]就是返回的地址，dword ptr [ebp-4]就是result变量，dword ptr [ebp-C]，就是buff数组的地址。当然这两个变量中间还有一个字节，就是内存对齐所产生的。上面黑色框框的部分，就是我们局部变量，也就是buff数组和result变量的位置。

虽然我们的check函数的buff数组只有7个元素，有没有想过，如果输入超过7个字符，会发生什么？我们的局部变量可是开了C字节大小，这C字节可都是随便我们操控的。如果我们输入8个字符，根据字符数组的知识，会在输入完字符数组最后一位的下一位填上0表示结束，那是不是就可以把这个result的结果（01）给淹没掉。这样，我们不通过任何修改汇编代码的方式，就能在不知道原始密码的情况下，输出Password Correct！这就是字符串溢出了。

留一个作业，对于以上代码生成的程序，如果输入8个字符’a’，还能输出Password Correct！吗，如果不能，又该怎么办呢？