git‑shell （/bin/bashは実行するプログラムに置き換えられているため、他のことを行うことはできません）：

struct _raw_uncapped_ssh_string { // no limit on the size of the string; uint32_t len; char non_null_terminated_string[]; // by protocol design it have a minimum length of 1 }; typedef struct _raw_uncapped_ssh_string raw_ssh_string; union buffer { void * uncapped_zlib_decompressed_network_data; // yes, the size is uncapped, so it’s possible to put 4Gb of // data in it that would be copied later into memory. zlib // allow easily to turn some Mb in Gb of data, but it’s not // the point of the question. raw_ssh_string st; }; get_command (compressed_network_data) { size_t len; char * command; buffer string=uncompress_to_buffer(compressed_network_data); len=ntohl(string.st.len)+1; command=malloc(len+1); command[len]=0; // here’s the point, both the string length and content as // well it’s supplied size is controlled by the attacker. memcpy(command,string.st.data,len); return command; } 

これがコマンドが後でどのように実行されるか（文字列commandはget_command()の後も変更されません）。

const char *args[]={"/bin/bash",command,NULL}; // /bin/bash isn’t the shell, it has been replaced by git‑shell. // redirect the program output to the network. dup2(stdin, 0); dup2(stdout,1); dup2(stdout,2); close(stdin); close(stdout); //if this return execution failed and print an error message return execv(args[0],(char * const *)args); // I don’t know which is the system, so I can’t know about the libc behaviour. 

memcpy(command,string.st.data,0) memcpyの3番目のメンバーが最小サイズは1で、私のコンテキストでは、size_tは64ビットの整数を使用していますが、len。

私にできることは、lenをstring.st.dataに割り当てられた値よりも大きい値に設定することだけです。これは、未割り当てのメモリを読み取ることができるバッファアンダーフローです。
サーバーメモリを読み取ることはできますが、パブリックsshサーバーが保持できる機密データを確認できません（私の場合は、 ssh is publicを実行できます）。

リモートでのバッファアンダーフローも同様ですmemcpyコード実行？

コメント

• コードが実際に実行される場合command[len] = 0長さlenのバッファの最大インデックスはlen-1であるため、これはバッファオーバーフローです。または、実際のコードがmalloc(len)ではなくmalloc(len+1)を実行する場合は、

  の値を0xFFFFFFFFに設定します。

• @ThomasPornin：これは私の部分からのエラーではありません。実際、いくつかの関数を呼び出して実行します。この。残りが真であると仮定します。
• @ThomasPornin：64ビットについて話します。lenはsize_tであるため、64ビットの整数を使用します。したがって、整数オーバーフローの方法はありません。
• @ThomasPornin彼らはlen+1を割り当てるので、0への設定は有効であるはずです。
• @RoraΖ：彼はstring.st.lenを‑1に設定することについて話していました。