return 0; }
编译后执行一下回怎么样？哈，―\指令引用的\内存。该内存不能为\。‖，―非法操作‖喽！\就是\的16进制的ASCII码了，那明显就是strcat这句出的问题了。\的大小只有8字节，算进结尾的/0，那strcat最多只能写入7个\，但程序实际写入了11个\外加1个/0。再来看看上面那幅图，多出来的4个字节正好覆盖了RET的所在的内存空间，导致函数返回到一个错误的内存地址，执行了错误的指令。如果能精心构造这个字符串，使它分成三部分，前一部份仅仅是填充的无意义数据以达到溢出的目的，接着是一个覆盖RET的数据，紧接着是一段shellcode，那只要着个RET地址能指向这段shellcode的第一个指令，那函数返回时就能执行shellcode了。但是软件的不同版本和不同的运行环境都可能影响这段shellcode在内存中的位置，那么要构造这个RET是十分困难的。一般都在RET和shellcode之间填充大量的NOP指令，使得exploit有更强的通用性。
├———————┤<—低端内存区域 │ …… │
├———————┤<—由exploit填入数据的开始 │ │
│ buffer │<—填入无用的数据 │ │
├———————┤
│ RET │<—指向shellcode，或NOP指令的范围 ├———————┤ │ NOP │
│ …… │<—填入的NOP指令，是RET可指向的范围 │ NOP │
├———————┤ │ │
│ shellcode │ │ │
├———————┤<—由exploit填入数据的结束 │ …… │
├———————┤<—高端内存区域
windows下的动态数据除了可存放在栈中，还可以存放在堆中。了解C++的朋友都知道，C++可以使用new关键字来动态分配内存。来看下面的C++代码：
#include
void func() {
char *buffer=new char[128]; char bufflocal[128];
static char buffstatic[128];
printf(\打印堆中变量的内存地址 printf(\打印本地变量的内存地址 printf(\打印静态变量的内存地址 }
void main() { func(); return; }
程序执行结果为：
0x004107d0 0x0012ff04 0x004068c0
可以发现用new关键字分配的内存即不在栈中，也不在静态数据区。VC编译器是通过windows下的―堆(heap)‖来实现new关键字的内存动态分配。在讲―堆‖之前，先来了解一下和―堆‖有关的几个API函数：
HeapAlloc 在堆中申请内存空间 HeapCreate 创建一个新的堆对象 HeapDestroy 销毁一个堆对象 HeapFree 释放申请的内存
HeapWalk 枚举堆对象的所有内存块 GetProcessHeap 取得进程的默认堆对象 GetProcessHeaps 取得进程所有的堆对象 LocalAlloc GlobalAlloc
当进程初始化时，系统会自动为进程创建一个默认堆，这个堆默认所占内存的大小为1M。堆对象由系统进行管理，它在内存中以链式结构存在。通过下面的代码可以通过堆动态申请内存空间：
HANDLE hHeap=GetProcessHeap(); char *buff=HeapAlloc(hHeap,0,8);
其中hHeap是堆对象的句柄，buff是指向申请的内存空间的地址。那这个hHeap究竟是什么呢？它的值有什么意义吗？看看下面这段代码吧：
#pragma comment(linker,\定义程序的入口 #include
_CRTIMP int (__cdecl *printf)(const char *, ...); //定义STL函数printf /*---------------------------------------------------------------------------
写到这里，我们顺便来复习一下前面所讲的知识：
(*注)printf函数是C语言的标准函数库中函数，VC的标准函数库由msvcrt.dll模块实现。
由函数定义可见，printf的参数个数是可变的，函数内部无法预先知道调用者压入的参数个数，函数只能通过分析第一个参数字符串的格式来获得压入参数的信息，由于这里参数的个数是动态的，所以必须由调用者来平衡堆栈，这里便使用了__cdecl调用规则。BTW，Windows系统的API函数基本上是__stdcall调用形式，只有一个API例外，那就是wsprintf，它使用__cdecl调用规则，同printf函数一样，这是由于它的参数个数是可变的缘故。 ---------------------------------------------------------------------------*/ void main() {
HANDLE hHeap=GetProcessHeap(); char *buff=HeapAlloc(hHeap,0,0x10); char *buff2=HeapAlloc(hHeap,0,0x10); HMODULE hMsvcrt=LoadLibrary(\printf=(void *)GetProcAddress(hMsvcrt,\printf(\printf(\printf(\}
执行结果为：
0x00130000 0x00133100 0x00133118
hHeap的值怎么和那个buff的值那么接近呢？其实hHeap这个句柄就是指向HEAP首部的地址。在进程的用户区存着一个叫PEB(进程环境块)的结构，这个结构中存放着一些有关进程的重要信息，其中在PEB首地址偏移0x18处存放的ProcessHeap就是进程默认堆的地址，而偏移0x90处存放了指向进程所有堆的地址列表的指针。windows有很多API都使用进程的默认堆来存放动态数据，如windows 2000下的所有ANSI版本的函数都是在默认堆中申请内存来转换ANSI字符串到Unicode字符串的。对一个堆的访问是顺序进行的，同一时刻只能有一个线程访问堆中的数据，当多个线程同时有访问要求时，只能排队等待，这样便造成程序执行效率下降。
最后来说说内存中的数据对齐。所位数据对齐，是指数据所在的内存地址必须是该数据长度的整数倍，DWORD数据的内存起始地址能被4除尽，WORD数据的内存起始地址能被2除尽，x86 CPU能直接访问对齐的数据，当他试图访问一个未对齐的数据时，会在内部进行一系列的调整，这些调整对于程序来说是透明的，但是会降低运行速度，所以编译器在编译程序时会尽量保证数据对齐。同样一段代码，我们来看看用VC、Dev-C++和lcc三个不同编译器编译出来的程序的执行结果：
#include
int main() { int a; char b; int c;
printf(\printf(\printf(\return 0; }
这是用VC编译后的执行结果： 0x0012ff7c 0x0012ff7b 0x0012ff80
变量在内存中的顺序：b(1字节)-a(4字节)-c(4字节)。
这是用Dev-C++编译后的执行结果： 0x0022ff7c 0x0022ff7b 0x0022ff74
变量在内存中的顺序：c(4字节)-中间相隔3字节-b(占1字节)-a(4字节)。
这是用lcc编译后的执行结果： 0x0012ff6c 0x0012ff6b 0x0012ff64
变量在内存中的顺序：同上。
三个编译器都做到了数据对齐，但是后两个编译器显然没VC―聪明‖，让一个char占了4字节，浪费内存哦。
基础知识：
堆栈是一种简单的数据结构，是一种只允许在其一端进行插入或删除的线性表。允许插入或删除操作的一端称为栈顶，另一端称为栈底，对堆栈的插入和删除操作被称为入栈和出栈。有一组CPU指令可以实现对进程的内存实现堆栈访问。其中，POP指令实现出栈操作，PUSH指令实现入栈操作。CPU的ESP寄存器存放当前线程的栈顶指针，EBP寄存器中保存当前线程的栈底指针。CPU的EIP寄存器存放下一个CPU指令存放的内存地址，当CPU执行完当前的指令后，从EIP寄存器中读取下一条指令的内存地址，然后继续执行。
参考：《Windows下的HEAP溢出及其利用》by: isno 《windows核心编程》by: Jeffrey Richter
www.uyuan.net文章来源于U缘网络
堆：欢乐和痛苦 Murali R. Krishnan Microsoft Corporation
1999 年 2 月
摘要： 讨论常见的堆性能问题以及如何防范它们。（共 9 页）
前言
您是否是动态分配的 C/C++ 对象忠实且幸运的用户？您是否在模块间的往返通信中频繁地使用了―自动化‖？您的程序是否因堆分配而运行起来很慢？不仅仅您遇到这样的问题。几乎所有项目迟早都会遇到堆问题。大家都想说，―我的代码真正好，只是堆太慢‖。那只是部分正确。更深入理解堆及其用法、以及会发生什么问题，是很有用的。
什么是堆？
（如果您已经知道什么是堆，可以跳到―什么是常见的堆性能问题？‖部分）
在程序中，使用堆来动态分配和释放对象。在下列情况下，调用堆操作：
事先不知道程序所需对象的数量和大小。
对象太大而不适合堆栈分配程序。
堆使用了在运行时分配给代码和堆栈的内存之外的部分内存。下图给出了堆分配程序的不同层。
此主题相关图片如下：
GlobalAlloc/GlobalFree：Microsoft Win32 堆调用，这些调用直接与每个进程的默认堆进行对话。
LocalAlloc/LocalFree：Win32 堆调用（为了与 Microsoft Windows NT 兼容），这些调用直接与每个进程的默认堆进行对话。
COM 的 IMalloc 分配程序（或 CoTaskMemAlloc / CoTaskMemFree）：函数使用每个进程的默认堆。自动化程序使用―组件对象模型 (COM)‖的分配程序，而申请的程序使用每个进程堆。
C/C++ 运行时 (CRT) 分配程序：提供了 malloc() 和 free() 以及 new 和 delete 操作符。
如 Microsoft Visual Basic 和 Java 等语言也提供了新的操作符并使用垃圾收集来代替堆。CRT 创建自己的私有堆，驻留在 Win32 堆的顶部。
Windows NT 中，Win32 堆是 Windows NT 运行时分配程序周围的薄层。所有 API 转发它们的请求给 NTDLL。
Windows NT 运行时分配程序提供 Windows NT 内的核心堆分配程序。它由具有 128 个大小从 8 到 1,024 字节的空闲列表的前端分配程序组成。后端分配程序使用虚拟内存来保留和提交页。
在图表的底部是―虚拟内存分配程序‖，操作系统使用它来保留和提交页。所有分配程序使用虚拟内存进行数据的存取。