【pwn】 关于栈的迁移

[pwn] 关于栈的迁移

在我们仅仅只能够控制ebp的情况下，我们怎么才能够控制eip去拿到我们的shell呢。

以下为科普

以32位程序举例，在使用call这个命令，进入一个函数的时候,程序会进行一系列栈操作:
push eip+4;push ebp;mov ebp,esp;来保护现场，避免执行完函数后堆栈不平衡以及找不到之前的入口地址。

执行完函数后会进行一系列操作来还原现场leave;ret;
这边的leave就相当于进入函数栈操作的逆过程。

leave  == mov esp,ebp;pop ebp;
ret    == pop eip #弹出栈顶数据给eip寄存器

这样如果能够控制栈空间到任意地址，那么我们就能利用ret来控制eip的数据了（栈顶数据）

进入主题

这次我碰到的这题题目是来自于pwnable的login。
我们只能够控制ebp的数据，关键的返回地址的数据由于输入长度的限制并不能控制，然而我们还是可以通过控制ebp来绕过限制。

由于ret返回的是栈顶数据，而栈顶地址是由esp寄存器的值决定的，也就是说如果我们控制了esp寄