两道“诡异”的数组越界问题的分析

1、数组越界引起的死循环问题：

#include "stdafx.h" int main(int argc, char* argv[]) { int i = 0; int arr[3] = {0}; for(i = 0; i<=3; i++){ arr[i] = 0; printf("hello world\n"); } return 0; }

此程序的问题是：死循环。很多人在C语言的学习瓶颈处/进阶处时都会遇到这样一个问题，因为从不甚关心内存到关系内存布局的过程，该问题充分的说明了数组内存越界的问题严重性，即使我们有时候使用数组越界也不会有任何错误。但是该问题的出现让每一个学习C语言的人对于内存布局产生了敬畏与兴趣。

对应main()的汇编指令如下所示：

main: 00401010 push ebp 00401011 mov ebp,esp 00401013 sub esp,50h 00401016 push ebx 00401017 push esi 00401018 push edi 00401019 lea edi,[ebp-50h] 0040101C mov ecx,14h 00401021 mov eax,0CCCCCCCCh 00401026 rep stos dword ptr [edi] ;有效功能指令 ;i = 0 00401028 mov dword ptr [ebp-4],0 ;arr[2] = arr[1] = arr[0] = 0 0040102F mov dword ptr [ebp-10h],0 00401036 xor eax,eax 00401038 mov dword ptr [ebp-0Ch],eax 0040103B mov dword ptr [ebp-8],eax ;循环开始 ;i = 0，即for()的表达式1 0040103E mov dword ptr [ebp-4],0 ;跳转到比较i<=3处，只有循环第一次才执行 00401045 jmp main+40h (00401050) ;从第二次循环便从此处开始执行 ;给i自加，即执行for()的表达式3 00401047 mov ecx,dword ptr [ebp-4] 0040104A add ecx,1 0040104D mov dword ptr [ebp-4],ecx ;比较i和3,即for()的表达式2 00401050 cmp dword ptr [ebp-4],3 ;大于3则直接结束 00401054 jg main+60h (00401070) ;否则（小于等于）则并打印hello world 00401056 mov edx,dword ptr [ebp-4] 00401059 mov dword ptr [ebp+edx*4-10h],0 ;打印“hello world” 00401061 push offset string "hello world\n" (0042201c) 00401066 call printf (004010a0) 0040106B add esp,4 ;外平栈 ;循环一次完毕，跳转到for()的表达式3执行，不需回到for()的表达式1执行 0040106E jmp main+37h (00401047) 00401070 xor eax,eax 00401072 pop edi 00401073 pop esi 00401074 pop ebx 00401075 add esp,50h 00401078 cmp ebp,esp 0040107A call __chkesp (00401120) 0040107F mov esp,ebp 00401081 pop ebp 00401082 ret

我们根据反汇编结果，画出main函数的部分堆栈图如下所示： 由于变量i和数组arr都属于局部变量，二者内存又是相接的，所以造成了所谓的arr[3]的地址与i的地址是相同的，所以修改arr[3]就是修改i，每当i增加到3时，由于arr越界访问，导致i的值被重新改为0，也就致使了死循环的产生。

2、数组越界引起的函数返回与调用问题：

第二道题目如下：

void print() { printf("Hello World!\n"); getchar(); } int main(void) { int arr[3] = {1,2,3}; arr[4] = (int)print; return 0; }

该题目中，从C语言语句中看，虽然我们没有调用fun()函数，但是运行后，会打印“Hello World!\n”，该问题的解解决不像第一题那样。第一道题其实不用反汇编的知识，只需要知道一点函数栈的概念就能基本解决。但是第二道题需要明白函数调用时的返回地址是如何存储，以及返回时eip、esp、ebp的寄存器具体是如何变化的才能解决。反汇编的部分代码如下：

main: 0040D730 push ebp 0040D731 mov ebp,esp 0040D733 sub esp,4Ch 0040D736 push ebx 0040D737 push esi 0040D738 push edi 0040D739 lea edi,[ebp-4Ch] 0040D73C mov ecx,13h 0040D741 mov eax,0CCCCCCCCh 0040D746 rep stos dword ptr [edi] 0040D748 mov dword ptr [ebp-0Ch],1 0040D74F mov dword ptr [ebp-8],2 0040D756 mov dword ptr [ebp-4],3 ;将dword ptr ss:[ebp-4]修改为0040100a 0040D75D mov dword ptr [ebp+4],offset @ILT+5(print) (0040100a) 0040D764 xor eax,eax 0040D766 pop edi 0040D767 pop esi 0040D768 pop ebx 0040D769 mov esp,ebp 0040D76B pop ebp 0040D76C ret 00401005 jmp main (0040d730) ;CPU执行ret后直接到该处开始执行指令，跳转到print处执行 0040100A jmp print (00401010) 0040100F int 3 print: 00401010 push ebp 00401011 mov ebp,esp 00401013 sub esp,44h 00401016 push ebx 00401017 push esi 00401018 push edi 00401019 lea edi,[ebp-44h] 0040101C mov ecx,11h 00401021 mov eax,0CCCCCCCCh 00401026 rep stos dword ptr [edi] 00401028 push offset string "Hello World!\n" (0042201c) 0040102D call printf (004010a0) 00401032 add esp,4 00401035 mov eax,[__iob+4 (00424a44)] 0040103A sub eax,1 0040103D mov [__iob+4 (00424a44)],eax 00401042 cmp dword ptr [__iob+4 (00424a44)],0 00401049 jl print+5Ch (0040106c) 0040104B mov ecx,dword ptr [__iob (00424a40)] 00401051 movsx edx,byte ptr [ecx] 00401054 and edx,0FFh 0040105A mov dword ptr [ebp-4],edx 0040105D mov eax,[__iob (00424a40)] 00401062 add eax,1 00401065 mov [__iob (00424a40)],eax 0040106A jmp print+6Ch (0040107c) 0040106C push offset __iob (00424a40) 00401071 call _filbuf (0040dbd0) 00401076 add esp,4 00401079 mov dword ptr [ebp-4],eax 0040107C pop edi 0040107D pop esi 0040107E pop ebx 0040107F add esp,44h 00401082 cmp ebp,esp 00401084 call __chkesp (00401120) 00401089 mov esp,ebp 0040108B pop ebp ;结束后不能返回到mainCTRStartup()中去 0040108C ret

我们根据反汇编代码画出其main函数的部分堆栈图如下：

由于arr[4]本就已经超出数组界限，而arr[4] = (int)print;修改了main函数执行完毕后的返回地址，根据堆栈图可知，修改的值即mainCTRStartup()函数中call 00401005指令的下一条指令的地址。而main()结束后返回时，ret时将arr[4]即此时的dwrod ptr ss:[esp]出栈到eip(pop eip)中。而dwrod ptr ss:[esp]中被修改的值0X0040100A是jmp print (00401010)指令的地址，则CPU下一条要执行的指令为jmp print (00401010)，而jmp print则导致print函数开始被执行，打印了“Hello World!\n”。但是由于返回地址被修改，且print在返回时ret指令从栈顶获取的地址不是mainCTRStartup()的下一条指令的地址，导致不能正常返回，程序也不能正常结束。