Question

我正在尝试粉碎堆栈并尝试从下面的链接中获取SHELL： http://insecure.org/stf/smashstack.html 我发送arglen neg并成功粉碎堆栈，代码正在发出段错误。但我无法计算RET地址，我应该把SHELL代码放在哪里。因此，在该距离之后的缓冲区中，我将放置SHELL代码。

int foo(char* arg, short arglen)
{
    char buffer[8];
    short maxlen = 8;
    int len;
    if (arglen < maxlen)
    {
        len = strlen(arg);
        printf("arglen =%d, buf size =%d\n", arglen, len);
        strncpy(buffer, arg, len);
    }else
        printf("foo finished. Everything is normal.\n");
    return 0;
}

上面代码的info frame O / P正在strncpy中设置断点：

(gdb) info frame
Stack level 0, frame at 0xffffc740:
 eip = 0x804854a in foo (target.c:17); saved eip = 0x804864f
 called by frame at 0xff80cd13
 source language c.
 Arglist at 0xffffc738, args: arg=0xffffc750 "1\300Ph//shh/bin\211\343PS\211ᙰ\v̀", arglen=-32549
 Locals at 0xffffc738, Previous frame's sp is 0xffffc740
 Saved registers:
  ebp at 0xffffc738, eip at 0xffffc73c
(gdb)

如何从buffer地址计算退货地址？

[编辑]

12345%n\x90\x90\x90\x90...\x90\x90SHELLCODE

像这样我想把我的缓冲存储器

Answer 1

调用汇编指令将指令指针压入堆栈，然后将地址放在指令指针中的调用指令中。正常的功能条目如下：

push bp
mov bp, sp
sub sp, n    ; n is the number of bytes for the local variables.

从上到下的堆栈现在看起来像：

arglen
arg
ret
bp
buffer

Buffer是第一个本地参数。然后缓冲区+ 8 + sizeof（void *）是返回地址的位置

从缓冲区指针计算堆栈中的返回地址

1 个答案: