硬核二进制安全学习：Buffer Overflow（栈的缓冲区溢出&&Pwn技巧Return to Text）

最新推荐文章于 2024-06-21 20:32:25 发布

IT鹅

最新推荐文章于 2024-06-21 20:32:25 发布

阅读量1.7k

点赞数 3

分类专栏：二进制安全

文章版权归知柯®️所有，非商业使用，转载请声明！

本文链接：https://blog.csdn.net/qq_43332010/article/details/112070454

版权

二进制安全专栏收录该内容

32 篇文章 26 订阅

订阅专栏

精选文章：
硬核二进制安全学习FunctionPrologue and Function Epilogue基础函数调用机制
本文摘录：

所谓PWN就是利用程序的漏洞控制程序的流程，简单来说就是需要控制RIP寄存器，因为RIP寄存器会告诉CPU你接下来会做什么那么现在我们就有黑客思维了，竟然我们可以将RIP的address写为0x6161616161，那么为何不把它改成有用的地址呢？

NTUSTISC Pwn basic 台湾科技大学
Buffer Overflow：
实例程序：
在这里插入图片描述
这里我们只用char类型定义了一个0x10的空间大小
我们使用read指令读取buf函数0x30地址，这样就造就了Buffer
Overflow的条件。
首先执行完Function初始化
程序在栈中是这样执行的，如下图：

如果我们要去往0x10空间里放入数据，如字符a，显而易见，只能放入16个a，因为0x10=16,
这时会发现stack还保留了old rbp指针开辟的空间，所以，程序读取0x20也是没问题的。
在这里插入图片描述
这时候程序要完成Base Stack(栈底）return address的Function Epilogue函数收尾工作。

#假设 
rsp = 0x7fffffffefd8
rbp = 0x7fffffffefe8
rip  = 0x40067
0x40067: leave 
0x400678: ret 
0x40067 : mov rsp,rbp
0x400678 : pop rbp

RIP寄存器即在64bit模式下，intel汇编命令名称，32bit下称作EIP，标志当前进程将要执行指令位置。
mov rsp , rbp
在这里插入图片描述

pop rbp

push寄存器：将一个寄存器中的数据入栈
pop寄存器：出栈用一个寄存器接收数据

在这里插入图片描述
使用pop指令之后，我们a的值会跳出stack进行执行，即
rbp的值=‘a’=‘0x61’

下一步是将RIP寄存器Return的值pop到RIP
RIP=我们溢出的值=‘0x616161616161616161’
这个时候，CPU会报错，Segmentation Fault
Segmentation Fault 简介：参考文章地址：添加链接描述

所谓的段错误就是指访问的内存超过了系统所给这个程序的内存空间，通常这个值是由gdtr来保存的，他是一个48位的寄存器，其中的32位是保存由它指向的gdt表，后13位保存相应于gdt的下标，最后3位包括了程序是否在内存中以及程序的在cpu中的运行级别,指向的gdt是由以64位为一个单位的表，在这张表中就保存着程序运行的代码段以及数据段的起始地址以及相应的断限和页面交换还有程序运行级别和内存粒度等信息，一旦一个程序发生了越界访问，CPU就会产生相应的异常保护，于是segmentation fault就出现了。

在这里插入图片描述
程序编译时发生报错了，那么就表明我们可以利用这个弱点，竟然我们现在已经可以把程序crash掉，那么如何控制程序流程运行呢？