本文源于对level5利用_libc_csu_init gadget构造payload时为何需要末尾填充0x38个字符的探讨。深入理解这个问题需要掌握64位汇编基础知识，包括pop、push、leave、ret、call等指令的用法。同时，了解栈空间分布，如在level5的示例中，payload覆盖了函数的返回地址。填充0x38个字符'a'的目的是控制rsp最终指向期望的返回函数地址，确保正确执行。
我写这篇博客主要是因为某人对我发起的灵魂拷问
为什么level5利用_libc_csu_init 的gadget构造的payload要在末尾加上0x38个填充字符
我听到这个问题是很蒙蔽的，我当时想当然的讲是用来维持栈平衡的，然rsp的值变成初始状态，可是经过一番深刻的讨论发现，不是这样子的，然后那个diaomao 就出去浪了，留我一个人思考这个问题
首先这个问题需要有一定的汇编基础：(因为这道题是64位的，所以我主要讲64位的)
pop (出栈):将栈顶的元素弹出栈，然后栈指针rsp + 8
相当于：
mov (%rsp),%register
add $8,%rsppush(入栈)：栈指针rsp - 8 然后将元素压入栈中
相当于：
sub $8,%rsp
mov $argument,(%rsp)leave : 将栈帧指针rbp的值赋给rsp ，然后将栈中保存的上一级函数的rbp值弹出
相当于：
mov %rbp,%rsp
pop %rbpret :返回，将当前栈顶的元素弹出栈中，传到rip中
相当于：
pop %ripcall:格式： call &address 先将address地址压入rip中，然后将call下一条指令作为返回地址
最低0.47元/天 解锁文章
扫一扫
425
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
