4 段 C/C++ 代码，4 类经典漏洞，4 条控制权交付路径

§1 栈缓冲区溢出 · 8 字节口令直接绕过认证 CWE-121 · Stack Overflow

输入 8 字节非密码字符串，strcpy 写 9 字节（含 '\0'），那个 '\0' 正好覆盖到相邻整数 auth 的最低位—— 认证 flag 被自己改成 0，不需要任何 shellcode，简单到只要 8 个 'A'。

漏洞源码

int verify(char *password) {
    int  auth;                              // 栈上 4 字节整数
    char buffer[8];                         // 栈上 8 字节缓冲区
    auth = strcmp(password, PASSWORD);      // 密码错 → auth ≠ 0
    strcpy(buffer, password);              // ❌ 无边界检查
    return auth;
}

栈帧布局（高地址 → 低地址，写入方向 ↓）

利用 1 · 最简 PoC · 认证绕过

输入 "AAAAAAAA"（8 字节，不是 "1234567"）：

1. strcmp("AAAAAAAA", "1234567") 返回非零 → auth ≠ 0
2. strcpy(buffer, "AAAAAAAA") 实际复制 9 字节（含字符串结尾的 '\0'）
3. 第 9 字节 '\0' 写入 buffer[8] 之后相邻的 auth 最低位 → 小端机上 auth = 0
4. verify 返回 0 → flag = 0 → 进入 congratulation! 分支

利用 2 · 进阶 · 覆盖返回地址实现远程代码执行（Remote Code Execution, RCE）

继续把输入加长到几十字节，写到 return addr：

[ buffer 8B ][ auth 4B ][ saved ebp 4B ][ return addr 4B ][ shellcode ... ]

• 栈可执行 → 跳到栈上 shellcode（DEP 之前的远古玩法）
• NX / 数据执行保护 启用 → ret2libc：把 return addr 改成 system，参数放成 "/bin/sh"
• 地址空间布局随机化（Address Space Layout Randomization, ASLR）+ 位置无关可执行文件（Position-Independent Executable, PIE）→ ROP（Return-Oriented Programming, 返回导向编程），从已加载库里凑指令片段
• main 是 while(1) 循环，失败可重试 → 适合 爆破 stack canary（一字节 256 次）

§2 格式化字符串 · 用户输入即模板，从泄露到任意地址写 CWE-134 · Format String

printf 把用户输入当成 format string，按 %x %s %n 依次去栈/寄存器取"参数"—— 调用者根本没传那些参数，于是 printf 读到的是栈上残值，写到的是攻击者指定的地址。

漏洞源码

char a[100];
scanf("%s", a);
printf(a);     // ❌ 用户输入做 format string · 正确写法 printf("%s", a);

四级利用梯度

经典 RCE 利用链

§3 释放后使用（Use After Free, UAF）· 同 size 块被原地还回 CWE-416 · UAF

free 之后 p1 仍持有旧地址（悬空指针，dangling pointer）；下次 malloc 同 size，glibc tcache / fastbin 把刚释放的块原地还回 → p2 == p1，通过 p1 写就是改 p2 的内容。

漏洞源码

p1 = malloc(10);
memcpy(p1, "hello", 10);
free(p1);                  // ① 释放 p1,但变量 p1 仍持有旧地址 ← 悬空指针

p2 = malloc(10);            // ② tcache LIFO 还回同一块 → p2 == p1
memcpy(p1, "world", 10);   // ③ 通过 p1 写,实际改了 p2
printf("%s\n", p2);         // 输出 "world" · 印证 p1==p2

tcache / fastbin 复用示意

glibc 2.26+ 默认开启 tcache，单线程的小块（≤ 0x80）走 LIFO 复用 —— 这正是上面 p1==p2 的根因。fastbin 行为类似。

三条真实利用路径

§4 竞争条件 · 检查与使用之间的时序裂缝 CWE-362 / 367 · TOCTOU

两次检查 i 之间的 1 秒窗口足够另一线程把 i 从 1 改成 2 —— 这是 检查时间与使用时间分离（Time-Of-Check to Time-Of-Use, TOCTOU）的最小可执行教学样本。

漏洞源码

int i = 1;                          // 共享变量, 无 mutex、无 atomic

void *mythread1() {
    if(i == 1) {                    // ① TOC: 检查
        sleep(1);                   // ② 窗口期 1 秒
        if(i == 2)                  // ③ TOU: 使用 · 期望"没被改",实际被改了
            printf("hack it!\n");
        else
            printf("you can try again!\n");
    }
}
void *mythread2() {
    sleep(1);
    i = 2;                          // ④ 窗口内修改 i
}

线程时序图

现实世界的同类漏洞

• 文件 TOCTOU：access(path, R_OK) 通过后 open(path)，攻击者两步之间把 path 换成 /etc/shadow 软链 → setuid 程序泄密 / 提权
• 内核 race：Dirty COW（CVE-2016-5195）—— Copy-On-Write 与 madvise 的 race，写只读映射 → root 提权
• 业务层 race：余额检查 + 扣款不原子 → 双花 / 重复领券（电商高频被刷的入口）
• TLS race：pthread_create 后未同步初始化 → 拿到未初始化的线程局部存储槽 → 信息泄露

§5 四例横向对比 · 触发条件 · 危害终点 · 修复抓手 L20 · Multi-row Comparison

把四例放到同一张表上看，可以同时识别 攻击面（栈/堆/格式化串/共享变量）、危害梯度、修复入口—— 任何一行修不彻底，链条就成立。

§6 共同根因 · 四种"误信任" Root Cause

四个漏洞不是 C 语言的"语言罪"，而是 程序员对外部世界的四类隐含假设全部错了—— 假设一旦被打破，程序就把决定权交给了攻击者。