1
Integer
el medidor que miente
- Qué rebosa
- el número que mide
- Qué hay al lado
- —
- Consecuencia
- detona otro overflow
Antes de empezar
Escanea o abre en tu móvil
testbo.tech-thebridge.com/mando
y entra con el código
····
Esperando a que el profesor abra la clase…
0 conectados
0
gotas en el vaso
Cada gota = 1 punto para ti.
La que desborde = +50.
$ ./vaso --fill
*** buffer overflow detected ***
El vaso ha desbordado. La gota que colmó el vaso cayó fuera del buffer.
segmentación — núcleo volcado (core dumped) EIP: 0x41414141 el agua cayó donde no debía
La gota fatal fue de +50
Masterclass · Buffer overflowThe Bridge · Digital Talent School
La gota que
colmó el vaso
Culpamos a la gota. Pero la gota era idéntica a todas las anteriores.
En 3 horas pasaréis de hacer charcos a construir acueductos.
El agua que se derrama no es el problema
Charcoderramar sin saber · crash (DoS)
Acueductoderramar sabiendo · ejecución de código
La misma página, la misma letra
byte 0x41→'A' (dato) · parte de una instrucción
Instrucciones y datos conviven en el mismo sitio. La CPU decide cuál es cuál.
La arquitectura de Von Neumann
Entradateclado · red
Salidapantalla · red
⟷
CPU · Procesador
Unidad de controldirige el tráfico
ALUcalcula
BUS
Memoria principal · RAM
Instrucciones
Datos
carga ⇄ guarda
Disco · Almacenamiento
SSD / HDD
el programa vive aquí apagado; se carga en RAM para ejecutarse
La clave
Instrucciones y datos, la misma memoria y la misma pinta. El byte 0x41 es 'A' o parte de unainstrucción según cómo lo lea la CPU.
Hexadecimal: el idioma de la memoria
1 byte = 8 bits = 2 dígitos hex
01000001
0x41='A'
0x41 = 'A'
0x42 = 'B'
0x43 = 'C'
Pronto escribiréis esto…
"AAAA"
↓
41 41 41 41
…y serán vuestras propias A's pisando la nota de retorno.
El procesador: un cocinero que solo entiende micro-órdenes
- Tú escribes la receta en grande (C); el compilador la traduce a micro-gestos: las instrucciones.
- El cocinero: lee una orden, la ejecuta, pasa a la siguiente.
EAXbolsillo de trabajo · aquí deja su resultado una función
EIPcuál es la siguiente orden · el dedo que avanza
Quien controle EIP, controla la máquina.
1mov eax, 5 // copia 5 al bolsillo EAX
2add eax, 3 // súmale 3 → EAX = 8
Memoria y pila: dónde vive la nota de retorno
dir. altas ↑dir. bajas ↓
Stackvariables locales · nota de retorno
↓· libre ·aquí chocan stack y heap
Heapmemoria pedida (malloc)
↑Data / BSSvariables globales
Textel código · solo lectura
callescribe la nota de retorno y salta
retlee esa nota y vuelve
call la escribe · ret la lee
paso 0 / 0
Código C
Ensamblador · x86 32-bit
La pila · la mesacrece hacia abajo ↓
ESP
EBP
inicio
El vaso mágico y el vaso de cristal
🫗 Vaso mágicoPython, JS, Go, Java
1nombre = input() // 5 o 50.000: el lenguaje lo gestiona
Crece solo. Nunca piensas en el borde.
🥛 Vaso de cristalC · tú con la jarra
1char nombre[16]; // 16 bytes, fijos
2gets(nombre); // si meten 50, se derrama. Silencio.
Tú decides el tamaño. Nadie vigila el borde.
El overflow es imposible en Python no por listo:alguien ya escribió el “¿y si se pasa?”. En C ese chequeo no existe salvo que lo escribas tú.
Tres overflows: mismo gesto, tres barrios
2
Stack
el vaso en la mesa
- Qué rebosa
- vaso en la mesa
- Qué hay al lado
- la nota de retorno
- Consecuencia
- control del flujo · el premio
3
Heap
el vaso en la despensa
- Qué rebosa
- vaso en la despensa
- Qué hay al lado
- metadatos de la despensa
- Consecuencia
- corrupción indirecta
Quién no mira el borde en cada caso:unsigned char · gets · strcpy.
El contador de dudas
1#include <stdint.h>
2uint8_t dudas = 10; // un byte
3
4void nueva_pregunta() { // cada pulsación
5 dudas = dudas + 1; // solo SUBE
6 if (dudas == 5) { // ¿cómo llega a 5?
7 premio_100(); // +100 puntos
8 }
9}
10
¡Pregunta nº 5!
se lleva +100
Romper: el primer crash
nota de retorno
EBP guardado
buffer[16]
- 16 bytes llenan el buffer
- 17–20 pisan el EBP guardado
- 21+ machacan la nota de retorno →
0x41414141 - retEIP salta a
0x41414141· no hay código → SEGFAULT
Esto es el charco: agua sin control, el programa muere. Ahora dirigiremos esos bytes.
Rompe el servicio
1void atender_cliente(int sock) {
2 char nombre[32]; // el vaso: 32 bytes
3 recv(sock, nombre, 1000, 0); // acepta hasta 1000
4 printf("Hola, %s\n", nombre);
5}
0crashes provocados
0 / 0han encontrado el offset
Primer offset
lo encontró +100
Flip de es_admin: el primer ataque con premio
nota de retorno
EBP guardado
int es_admin
buffer[16]
1int es_admin = 0; // el vaso vecino
2char password[16]; // el vaso que desborda
3gets(password); // sin límite
4if (es_admin) dar_acceso_total(); // ¿cómo llega a != 0?
16 caracteres + 1 byte ≠ 0. Ese byte cae en es_admin, el if se cumple → adminsin tocar la contraseña.
No rompes: diriges.
Entra sin la contraseña
1void login() {
2 int es_admin = 0; // el vaso vecino
3 char password[16]; // el vaso que desborda
4 gets(password); // sin límite
5 if (es_admin) dar_acceso_total();
6}
password[16]es_adminpegadas en la pila
Primer admin
entró como admin +100
🔓 Accesos conseguidos (0)
Aún nadie ha entrado como admin…
ret2win: reescribir la nota de retorno
nota de retorno
EBP guardado
buffer[16]
la nota ahora apunta a dar_flag()
16 bytesllenan
buf[16] · "AAAA…"4 bytespisan el EBP · "BBBB"
4 bytesla dirección de dar_flag()
little-endian · x86 la escribe al revés
0x08049172 →\x72\x91\x04\x08El patrón cíclico (Aa0Aa1Aa2…) te da el offset exacto sin contar.
Ya no cambias lo que el programa sabe. Secuestras lo que hace.
Salta a dar_flag
1void dar_flag() { // existe… pero NADIE la llama
2 printf("FLAG{%s}\n", flag);
3}
4void atender_cliente(int sock) {
5 char nombre[40]; // el vaso: 40 bytes
6 recv(sock, nombre, 1000, 0);
7}
$ objdump -d servicio | grep dar_flag0804a1c7 <dar_flag>: push ebp …dar_flag @ 0x0804a1c7
El servicio nunca llama a dar_flag.Hacedla ejecutar.
🏴 Banderas conseguidas
Aún nadie ha saltado a dar_flag…
¡Acueducto!
saltó a dar_flag +200
Shellcode: traer tu propia agua con forma
NOP sled · la rampa
909090909090909090909090⟶shellcode
execve("/bin/sh")dirección → al medio del sled
- El agua que viertes ES el código. Aquí se cobra Von Neumann: datos = instrucciones.
NOP(0x90) no hace nada, solo pasa al siguiente. Si EIP cae en cualquier punto de la rampa, se desliza hasta el shellcode.
$ whoamiroot$ ▋
Simulación escénica: la shell se dramatiza, disparada desde el móvil. La explotación real queda fuera de esta web.
Trae tu propio código
1void atender_cliente(int sock) {
2 char nombre[128]; // cabe un sled + shellcode
3 recv(sock, nombre, 1000, 0); // sin dar_flag: nada jugoso
4}
shellcode (cocinado) → abre /bin/sh:31 c0 50 68 2f 2f 73 68 68 2f 62 69 6e 89 e3 50 53 89 e1 b0 0b cd 80
tu input empieza cerca de 0xffffd520 (±, no exacto)
¡SHELL!
abrió la primera shell +150
Shells abiertas (0)
Aún nadie ha traído su código…
Defensas y cierre: gato y ratón
Canario
mata el desbordamiento
gota de tinta en el borde, justo antes de la nota
bypass filtrar el canario
NX / DEP
mata el shellcode
el agua derramada no se puede beber
bypass ret2libc / ROP
ASLR
mata el ret2win
barajar dónde está cada vaso al poner la mesa
bypass un leak y recalcular
Empezamos con una frase de cocina y hemos acabado abriendo una shell.
El hilo fue siempre el borde que nadie miró. Ahora vosotros sois de los que lo miran.
La gota que colmó el vasoThe Bridge · Digital Talent School
Gracias
Empezamos con una frase de cocina y hemos acabado abriendo una shell. Ahora vosotros sois de los que miran el borde.
El podio
🥈—0 pts
2
👑
🥇—0 pts
1
🥉—0 pts
3