二进制安全：从冯·诺依曼缺陷到指令级对抗

核心公理：在经典的冯·诺依曼架构下，指令与数据在同一内存空间内无法从物理层面区分。PWN 的本质即是诱导处理器将恶意数据解释为合法指令。

---

1. 内存破坏的形式化建模 (Formal Modeling)

1.1 缓冲区溢出 (Buffer Overflow) 的量化

设缓冲区起始地址为 $B$，容量为 $N$。写操作的输入流为 $S$，长度为 $L$。

• 安全不变式：$\forall i \in [0, L-1], \text{Addr}(S[i]) \in [B, B+N-1]$。
• 违规触发：当 $L > N$ 且写入偏移 $i \ge N$ 时，目标地址可能覆盖相邻的控制数据（如返回地址 $RET$ 或栈基址 $EBP$）。

---

2. 内存安全防御边界验证 (Defense Boundaries)

现代操作系统引入了多层缓解机制，其实质是增加攻击的确定性成本。

2.1 ASLR 的地址熵验证

ASLR (Address Space Layout Randomization) 的有效性取决于地址位的随机化程度（熵 $H$）。

• 在 64 位 Linux 系统中，栈地址通常有 24 位的随机偏移。
• 成功概率：对于单次尝试，$P_{success} = 2^{-H}$。
• 验证：攻击者通常需要通过 Information Leak（如格式化字符串漏洞）来直接读取随机化后的基址，从而将 $P$ 提升至 1。

2.2 Stack Canary 校验逻辑

Canary 是插入在局部变量与返回地址之间的随机值。

• 函数序言：mov rax, QWORD PTR fs:0x28; mov [rbp-0x8], rax
• 函数尾声：xor rax, QWORD PTR fs:0x28; jne __stack_chk_fail
• 防御边界：只要溢出是连续写入的，返回地址在被修改前 Canary 必然先被破坏。

---

3. 漏洞利用一致性分析 (Exploit Chains)

3.1 ROP 链的自动化构建

当 NX (No-Execute) 开启时，攻击者利用现有代码段中的 Gadgets。

• Ret2Libc：
  1. 泄露 libc 基址（通过 puts(got_plt_entry)）。
  2. 计算 system 函数与 /bin/sh 字符串地址。
  3. 构造 ROP 链：pop rdi; ret $\to$ &bin_sh $\to$ &system。

---

4. 深度模拟演示 (C++ Security Engineering)

4.1 漏洞模拟：经典栈溢出与控制流劫持

点击查看 C++ 实现：模拟栈溢出覆盖返回地址的过程

#include <iostream>
#include <cstring>
#include <iomanip>

void vulnerable_function(const char* input) {
    char buffer[16];
    // 危险操作：没有边界检查的拷贝
    std::strcpy(buffer, input);
    std::cout << "Buffer content: " << buffer << std::endl;
}

void secret_function() {
    std::cout << "CRITICAL: System integrity compromised! Shell spawned." << std::endl;
}

int main() {
    // 构造溢出 Payload (假定返回地址在 buffer 后 24 字节处)
    char payload[64];
    std::memset(payload, 'A', 24);
    
    // 假设 secret_function 的地址被填入 payload 尾部
    // void* addr = (void*)secret_function;
    // std::memcpy(payload + 24, &addr, sizeof(void*));

    std::cout << "Running vulnerable code..." << std::endl;
    // vulnerable_function(payload); 
    return 0;
}

4.2 现代防御：使用 std::span 与强类型检查

点击查看 C++ 实现：利用 C++20 特性实现编译时与运行时边界保护

#include <iostream>
#include <span>
#include <vector>
#include <algorithm>

// 现代安全原语：强制传递长度信息
void safe_copy(std::span<const char> src, std::span<char> dest) {
    if (src.size() > dest.size()) {
        throw std::runtime_error("Buffer overflow prevented at runtime!");
    }
    std::copy(src.begin(), src.end(), dest.begin());
}

int main() {
    std::vector<char> src = {'H', 'e', 'l', 'l', 'o', '!'};
    char dest_small[4];
    
    try {
        safe_copy(src, dest_small);
    } catch (const std::exception& e) {
        std::cerr << "[DEFENSE] " << e.what() << std::endl;
    }
    return 0;
}

---

5. 综合练习 (Advanced Exercises)

练习 1：ROP 链中的 Gadget 对齐

题目：为什么在 64 位程序的 ROP 链中，调用 system 函数前有时需要额外添加一个 ret gadget？

点击查看解析

解析：

1. 栈对齐约束：在 x86-64 的调用约定中，某些函数（如 system 或 printf）在执行特定 SSE 指令（如 movaps）时，要求栈顶地址必须对齐到 16 字节。
2. 偏移计算：一个 ret 指令长度为 8 字节，通过插入一个额外的 ret gadget，可以将栈偏移调整 8 字节，从而满足 16 字节对齐要求。
3. 现象：如果不对齐，程序会发生 Segmentation Fault（通常发生在 do_system 内部）。

练习 2：UAF (Use-After-Free) 的内存布局攻击

题目：已知一个程序释放了一个对象 $O_1$，但随后攻击者分配了一个大小相同的受控对象 $O_2$。如果程序继续调用 $O_1$ 的虚函数，会发生什么？

点击查看解析

解析：

1. 内存重用：堆管理器通常会重用最近释放的内存块。$O_2$ 极有可能占据 $O_1$ 原本的内存地址。
2. 虚表劫持：如果攻击者在 $O_2$ 的开头布置了一个伪造的虚函数表指针 (vptr)，那么当程序执行 O1->vfunc() 时，它实际上会去 $O_2$ 提供的伪造虚表中查找函数地址。
3. 结果：控制流被劫持到攻击者指定的地址。