我可以执行驻留在数据段（ELF 二进制文件）中的代码吗？

Question

在理解二进制文件（虚拟内存布局、执行...等）的过程中，我编写了一个C 代码，该代码声明了一个包含可执行代码字节的全局字符串，然后我覆盖了从通过在main() 中声明一个指针（PTR），将main() 函数指向该可执行代码，这是一个在堆栈上保留的本地内存区域，距离main() 的返回地址2 个字远，所以我所做的就是将返回地址的地址分配给该指针(PTR=(int*)&PTR+2)，然后用可执行代码的地址（静态字符串）覆盖该地址的内容。

现在的困境是也就是说，每当我编译和执行时，我都会收到 分段错误。 可执行代码没有内存input/output（它只是一堆NOPs）。

使用 GDB，我确保该过程完美运行：返回地址更改为字符串的地址，但返回永远不会发生。

我所知道的是可执行代码已映射到虚拟内存中的页面标记为RW（.data 和.bss 段），因此除非将代码注入到内存的executable 区域（标记为@987654335 的页面），否则可能无法执行这样的代码执行@)。这就是我对这个主题的理论，我邀请你提供更多细节。

char code[]="\x90\x90\x90\x90\x90\x90\x90\x90"; //a static string contains executable code

int main()
{
int *return_address; //Pointer to the return address - uninitialized
return_address = (int *)&return_address + 2; //Initializing the return address - according to stack layout
(*return_address) = (int)code; //Overwriting the return address with the code's address
}

Answer 1

我收到分段错误。

这是数据执行预防的硬件控制 (https://en.wikipedia.org/wiki/Executable_space_protection#Linux) - 如果页表中没有设置“x”（执行）位，则不能直接跳转到数据页。所有位的内存映射在/proc/$pid/maps//proc/$pid/smaps 文件中列出，“rwx”表示可写代码，“rw-”表示未执行的数据，“r--”表示只读数据，“r-x”表示普通代码。

如果你想执行数据，你应该调用mprotect syscall 和PROT_EXEC 标志在你想要成为代码的数据部分。

在 x86 世界中，这在 Pentium 4 (Prescott) 和更新版本（Core、Core2、Core i*、core m）/ Athlon 64 / Opteron 和更新版本中完全实现为"NX bit" / "XD bit" feature。如果操作系统在 32 位模式下工作，它必须打开 PAE 才能在页表中拥有该位。在 x86_64 模式（64 位）下，始终支持 NX/XD 位。

在 2004 年左右向 linux 添加了第一个支持变体：http://linuxgazette.net/107/pramode.html

在 2007 年，您可能拥有过时的硬件、旧内核或没有 PAE 的 32 位模式内核。

NX/XD 位信息：https://en.wikipedia.org/wiki/NX_bit

有时“rwx”模式可能会被禁止，请查看https://en.wikipedia.org/wiki/W^X。

对于 NX 之前的系统，有一些基于 x86 段寄存器的解决方案可以部分禁用部分内存空间的执行。

我可以在没有分段错误的情况下执行上面的程序吗？

你可以：

• 通过调用mprotect 和PROT_READ|PROT_EXEC 使数据页可执行
• 将elf文件的数据段标记为可执行（需要深入ld脚本-默认在ld --verbose）
• 使所有页面包括.data 和堆可执行（不仅仅是堆栈）
  使用 ld 或 gcc -z execstack
• 将shellcode移动到elf文件的文本数据中
• 尝试禁用内核中的 nx/xd 位（硬；可能需要重新编译）
• 使用未启用 PAE 选项（构建时间选项）的 32 位操作系统（内核）。
• 使用不带 NX/XD 的旧 CPU