Memoria y la pila

Cuando se ejecuta un programa, el sistema operativo le asigna una distribución de memoria con regiones diferenciadas: text (código), data/BSS (variables globales), el heap (asignación dinámica) y la stack.

Los desbordamientos de búfer suelen aprovechar la stack, por lo que es esencial comprenderla.

La stack es una región de memoria utilizada para las llamadas a funciones. Almacena variables locales, argumentos de funciones y direcciones de retorno.

En x86, crece hacia abajo: insertar datos desplaza el puntero de la stack hacia direcciones inferiores. Esta dirección es importante cuando se produce un desbordamiento.

Cada llamada a una función crea un marco de la stack. Normalmente, un marco contiene variables locales, el puntero base guardado (EBP) y la dirección de retorno (EIP guardado).

La dirección de retorno indica a la CPU dónde continuar cuando finaliza la función. Controlarla es el núcleo de la explotación de desbordamientos de la stack.

En x86 de 32 bits, los registros importantes son:

• ESP: puntero de la stack, parte superior de la stack.
• EBP: puntero base, ancla del marco actual.
• EIP: puntero de instrucciones, dirección de la siguiente instrucción.

Si controla EIP, controla el flujo de ejecución.

Un búfer es un bloque de memoria de tamaño fijo, como un array local de caracteres. El programa espera que los datos quepan en él.

Si el programa copia más datos de los que el búfer puede contener sin comprobar la longitud, el exceso se desborda hacia la memoria adyacente.

Un desbordamiento de búfer ocurre cuando la entrada supera el tamaño del búfer y sobrescribe datos adyacentes en la pila.

Como el EBP guardado y la dirección de retorno se encuentran justo después de los búferes locales, una entrada suficientemente grande puede sobrescribir la dirección de retorno y secuestrar el flujo de control.

Los desbordamientos suelen deberse a funciones inseguras de C que no comprueban la longitud:

• strcpy, strcat, sprintf, gets.

Las alternativas más seguras, como strncpy o snprintf, aceptan un límite de tamaño, pero el código heredado está lleno de las funciones peligrosas.

Cuando la función vulnerable retorna, la CPU extrae la dirección de retorno (ahora controlada por el atacante), la carga en EIP y salta a ella.

Si se apunta EIP al código máquina inyectado (shellcode), la CPU lo ejecuta con los privilegios del programa.

x86 utiliza el formato little-endian: los valores de varios bytes se almacenan empezando por el byte menos significativo. Para sobrescribir la dirección de retorno con 0x080414C3, se escriben los bytes en orden inverso.

Equivocarse con el orden de los bytes es un error habitual de los principiantes que hace que los exploits fallen silenciosamente.

Los sistemas modernos incorporan defensas que complican la explotación:

• DEP/NX: marca la pila como no ejecutable.
• ASLR: aleatoriza las direcciones de memoria.
• Canarios de pila: detectan las sobrescrituras antes del retorno.

Este curso se centra en el caso clásico (con las protecciones desactivadas) para enseñar los fundamentos.

Aunque las defensas modernas dificultan los desbordamientos clásicos de pila, los fundamentos siguen siendo esenciales. Los sistemas embebidos, el IoT y el software heredado a menudo carecen por completo de estas protecciones.

Dominar el caso básico también es un requisito previo para técnicas avanzadas como ROP, que evaden las mitigaciones modernas.

Recuerde qué valor desea controlar en última instancia el atacante.

Ahora comprende los fundamentos:

• La pila almacena las variables locales, el EBP guardado y la dirección de retorno, y crece hacia abajo.
• ESP, EBP, EIP son los registros clave de x86; controlar EIP permite controlar la ejecución.
• Las funciones inseguras, como strcpy y gets, provocan desbordamientos.
• x86 utiliza el formato little-endian; las defensas modernas son DEP, ASLR y los canarios.

A continuación, someterá un programa a fuzzing para encontrar el desplazamiento hasta el fallo.