CTF|rop emporium pivot32 writeup （栈迁移题型）

CTF|rop emporium pivot32 writeup （栈迁移题型）

题目来源：https://ropemporium.com/challenge/pivot.html

malloc生成了一个堆区

pwnme函数里面有两个gets函数，存在栈溢出的地方，在第二个gets，但是他在填充完s之后所剩下的空间位58-0x28-4，是一个很小的空间，在这样的狭小空间里面是不足以构造rop chain的。

stack pivoting

具有这样特点的题目叫做stack pivoting。

stack pivoting，正如它所描述的，该技巧就是劫持栈指针指向攻击者所能控制的内存处，然后再在相应的位置进行 ROP。

显然我们要将ropchain写到堆区，再控制程序到堆区执行

栈迁移的方法

这道题用的方法是汇编语言leave_ret指令
leave相当于mov esp ebp + pop ebp
mov esp ebp操作指将ebp的值赋给esp，也就是让esp指向ebp所指的地方
pop ebp操作指将栈上ebp所指向的内容pop出来

所以我们的思路是
通过填充数据将ebp覆盖成我们想让函数执行流去到的地方（dss/data/堆区）
然后在填入leave_ret 指令
特别注意的是：其实在函数执行到我们填入的leave_ret指令之前，函数内自己也有一段leave_ret 指令，也就是说，我们这个设置栈溢出，leave_ret 指令它执行了两次。
下面简单两次leave_ret指令过程esp ebp指向（仅供参考）
红线表示esp 绿线表示ebp