君莫笑系列视频学习（5）（终）

这次视频讲解的是通过jmp esp布置跳到shellcode执行

 

pwn_by_example_7_b0verfl0w (jmp esp)：https://www.bilibili.com/video/av35112734

与这个视频的第一集讲解的内容一致：https://www.bilibili.com/video/av51256118

 

这道题是X-CTF Quals 2016 的 b0verflow

s大小为0x20，这道题与前几到题相比，限制输入50个字节

 

nx没有开，所以考虑传入shellcode，然后跳过去执行，这里很明显只有个fgets函数接受输入，所以我们可以把shellcode放在冲区s的开头， 然后控制eip指向到shellcode开头

 

 

如图为函数返回过程最后时，会pop eip，esp会刚好指向返回地址的下一个地址，所以考虑将esp移动到shellcode，那么接下来就会让eip指向shellcode。

 

这个太大，所以考虑

内存中寻找jmp esp指令：ROPgadget --binary . /b0verflow | grep esp

 

就是先将shellcode布置到栈上，返回地址为jmp esp的地址，sub esp，0x28和jmp esp作为参数首先执行然后执行p32()里面的指令

 

完结，撒花！