Где я могу найти демонстрацию переполнения буфера?

Question

Где я могу найти демонстрацию переполнения буфера?

Есть сайт или есть простой способ его создания, который демонстрирует, что может случиться с переполнением буфера? Это в контексте веб-приложения.

(Я, кстати, уже спрашивал об этом на ServerFault, на тот случай, если вы думаете, что лучше спросить там)

1

security website buffer

Источник

bugmagnet 20 май '10 в 05:21

1 ответ

Другие вопросы по тегам security website buffer

SecurityMatt 05 мар '12 в 22:04 2012-03-05 22:04 · Answer 1 · 2012-03-05 22:04

Переполнения буфера в стеке и куче, по сути, вызваны записью большого количества данных в область памяти, которая слишком мала, чтобы содержать все данные, - что приводит к тому, что данные записываются сверх пределов выделения и разбрасывают все, что находится после этого, логически в объем памяти. В случае переполнения стека это может быть адрес возврата для функции, а в случае переполнения кучи это может включать указатели виртуальных функций из других объектов C++ в куче. В любом случае злоумышленник может использовать уязвимость, чтобы получить контроль над процессом, когда перезаписанная функция возвращается или используется перезаписанный объект кучи.

WebApplications written in PHP, C#, VB, VB.NET, ASP.NET, Ruby-on-rails, server-side javascript and JSP are managed applications, and are not succeptable to memory corruption vulnerabilities such as stack buffer overflows or heap buffer overflows caused by bad web-application code. Buffer overflows tend to be the preserve of C/C++ applications, although other less common "native" languages such as Dephi and Fortran are also susceptible.

If you are a web-developer, the most important class of vulnerabilities that you need to look at are SQL-injections and problems caused by inappropriate include/eval/file-writes in the server code which might allow a string or file passed by a user to eventually be treated as code on the server. Unfortunately for web-developers, these types of attacks tend to be much more effective and are much easier to do than buffer-overflow attacks on native code, and consequently the impact of not fully understanding security as a web-developer can be much more painful than not understanding security as a native developer.