CTF-Pwn丨栈溢出入门题目思路解析

i 春秋论坛作家「SkYe231」表哥总结了几种Pwn入门栈溢出题目的解题思路，旨在为大家提供更多的学习方法与技能技巧，文章仅供学习参考。

栈溢出入门题目可能不局限下面总结的，诸如利用栈溢出修改局部变量触发某些条件getshell等没有总结到位，感兴趣的小伙伴可以在i春秋官网进行系统学习。

PS：Web端看课体验更佳，看课地址：

https://www.ichunqiu.com/newRelease/webaqgcs

ip根据题目位数不同分别代指eip或rip ，bp及sp同理。以下小结均是基于程序为动态链接。

int vul()
{
  char s; // [esp+Ch] [ebp-6Ch]
  puts("input:");
  gets(&s); //栈溢出漏洞，溢出长度不限
  return puts("OK,Bye!");
}

通过分析找到后门函数，且这个后门是一个完整可用的后门，就是只要我们调用这个后门函数，不需要其他额外的操作就能getshell，通常是system('/bin/sh')，write(1,'flag',32)等形式。

int getshell()
{
  return system("/bin/sh");
}

思路：

有完整可用后门的情况下，只要溢出长度能够覆盖ip即可。直接利用栈溢出将getshell函数地址写入到eip位置，结束当前函数后就会去运行getshell函数payload结构：

payload = [填充] + [get_shell_addr]

int vul()
{
  char s; // [esp+Ch] [ebp-6Ch]
  puts("input:");
  gets(&s); //栈溢出漏洞，溢出长度不限
  return puts("OK,Bye!");
}

这里指的远大于ip，意思是可以溢出覆盖除了ip以外的3个以上的（一般情况，实际情况实际分析）机器字长（32位4 bit；64位8bit）。

残缺后门的形式多种多样：提供诸如system等关键函数；flag、/bin/sh等字符串；某些gadget等。这里就整理前两种情况，刚好对应上面的完整后门。

int getshell()
{
  return system("echo no no no!!!");
}

这样就能通过system.plt调用system函数。

字符串/bin/sh可以在ida中字符串界面可以查询到（shift+f12），存放在bss区，在源码中通过定义变量来提供。通过地址来调用这个字符串参数。

思路：

对比完整后门发现这里是将函数和参数分割，但是两者都在程序中，所以可以通过栈溢出自行构造完整后门，这里就涉及传参方式方面知识：32位栈传参；64位前6个参数寄存器传参，后续更多参数遵循栈传参。

自行构造完整后门（调用链）对溢出长度有要求了，至少要能溢出除ip以外再多2个机器字长，用于写入调用步骤。

32位程序：

payload=[填充]+[system@plt]+[4bit填充]+[参数]

64位程序：

64位系统寄存器传参需要用到gadget，可以使用ROPgadget查找程序乃至libc库（需要泄露基地址）。一般来说前两个参数rdi rsi的gadget比较常见容易得到的。

payload=[填充]+[pop_rdi_ret]+[参数]+[system@plt]

system函数在ida中呈现方式同上小结。与上面小结相比缺少的是字符串/bin/sh，对比完整后门来说就只剩下system。

这里结合上面小结对比缺少一个/bin/sh，那就先构造一个输入的利用链将字符串输入到内存，然后再和上面一样构造system利用链，这里就涉及ROP利用思想。system利用链不再重复，与上面小结一致。输入利用链构根据题目出现输入函数不同而实际分析，一般用的都是read，也有scanf、gets 。

根据溢出长度不同还能细分为两种情况：一次性利用链；ROP利用链。

一次性利用链

这种情况适用于溢出长度比较大，一般能有7个机器字长左右，具体情况具体分析。这种利用的思想是用输入函数read将/bin/sh写入到bss段后调用system('/bin/sh') 。

32位程序：

payload=[填充]+[read@plt]+[system@plt]+[参数1]+[binsh写入地址]+[参数3]+[binsh写入地址]

64位程序很少用，因为寄存器传参需要用到gadget，这样会导致需要非常大的溢出空间，构造起来和32位思想一样不再重复。

ROP利用链

和一次性利用链思想上最大区别就是运行完自构写入函数后，返回main（或其他）函数，相当于让程序重新运行一次，有第二次利用漏洞机会，写入getshell利用链。

相比之下优势：payload长度变短，有效应对溢出长度不足情况。

32位程序：

payload1=[填充]+[read@plt]+[main]+[参数1]+[binsh写入地址]+[参数3]
payload2=[填充]+[system@plt]+[4bit填充]+[binsh写入地址]

64位程序：

pop_rdi都会有单独的gadget，rsi多数以pop_rsi_r15形式出现，rdx少有gadget，这里假设gadget情况如下，实际做题实际调整：

• pop_rdi_ret

• pop_rsi_r15_ret

• pop_rdx_ret

payload1=[填充]+[pop_rdi]+[参数1]+[pop_rdi_r15]+[binsh写入地址]+[8bit填充]+[pop_rdx]+[参数3]+[read@plt]
payload2=[填充]+[pop_rdi]+[binsh写入地址]+[system@plt]

可以看到payload1还是长的，且rdx gadget不一定有。这是可以尝试不传第三个参数，用寄存器rdx的原值，这个值有可能符合需要（若需要控制前三个参数了解一下ret2csu），payload简化如下：

payload1=[填充]+[pop_rdi]+[参数1]+[pop_rdi_r15]+[binsh写入地址]+[8bit填充]+[read@plt]
payload2=[填充]+[pop_rdi]+[binsh写入地址]+[system@plt]

就是给/bin/sh，其实这样等于没给，需要用到的函数都需要去libc中找，等同于没有后门，故这里不小结，思路和下面无后门一样。

int vul()
{
  char s; // [esp+Ch] [ebp-6Ch]
  puts("input:");
  gets(&s); //栈溢出漏洞，溢出长度不限
  return puts("OK,Bye!");
}

思路：

既然程序中没有system就到libc中找，也就是需要泄露libc基地址。方法是泄露一个位于libc中的函数的真实地址，将真实地址减去函数偏移得到基地址。/bin/sh也能在libc中找到不再赘述。

泄露地址需要一个（程序中出现过的）输入函数，常见的有puts、write等。泄露完成后需要第二次利用漏洞的机会，所以也就是涉及ROP利用思想。

32位程序：

puts

payload1=[填充]+[puts@plt]+[main]+[某函数@got]
payload2=[填充]+[system@libc_addr]+[4bit填充]+[binsh@libc_addr]

write

payload1=[填充]+[puts@plt]+[main]+[某函数@got]
payload2=[填充]+[system@libc_addr]+[4bit填充]+[binsh@libc_addr]

64位程序：

puts

payload1=[填充]+[pop_rdi]+[某函数@got]+[puts@plt]+[main]
payload2=[填充]+[pop_rdi]+[binsh@libc_addr]+[system@libc_addr]

write

稳妥来说需要控制3个寄存器：write(1,[输出地址],[输出长度]) 。如果找不到rdx的gadget和[上面小结](#ROP利用链)一样尝试看看rdx原值是否符合需求，如果要不满足就得用ret2csu技巧控制前三个寄存器。

思路

为了便于总结假设一个32位程序有两次输入，第一次向全局变量var_1（地址为：addr）写入，第二次向局部变量s写入。

// 32位程序
int vul()
{
  char s; // [esp+Ch] [ebp-6Ch]
  puts("input:");
  gets(&var_1); //栈溢出漏洞，溢出长度不限
  puts("input:");
  read(0,&s,0x74);  //栈溢出漏洞，溢出长度有限
  return puts("OK,Bye!");
}

提前用ROPgadget找到leave;ret gadget，然后构造payload如下：

这里归纳了几种入门题目常见套路，但是套路远远不局限于上文，比如栈溢出修改局部变量，绕过PIE保护等等，后续会在公众号分享相关内容，大家敬请关注。

文章素材来源于i春秋社区

注：文章内容仅供学习交流使用，任何人不得将其用于非法用途，否则后果自行承担！