使用堆栈粉碎跳过指令

我一直试图通过改变堆栈粉碎的返回地址来跳过指令。以下代码跳过主要的++并打印“1 3”的输出。我在32位的英特尔机器上执行了此代码。使用堆栈粉碎跳过指令

#include<stdio.h> 
void fun(int a,int b) { 
    // buffer 
    char buf[8]; 
    char *p; 
    p = (char *)buf+24; 
    *p=*p+5; 
    return; 
} 

int main() { 
    int a=1,b=2; 
    fun(a,b); 
    a++; 
    b++; 
    printf("%d %d",a,b); 
}

我无法理解为什么返回地址从开始BUF的地址存放在24个字节的位移。我曾尝试在不同的32位英特尔机器上执行相同的代码，我不得不使用20字节而不是24字节的位移。我已将我的理解放在下图中。我不确定填补“？”代表的差距是什么在图中。海湾合作委员会在那里放置任何金丝雀价值还是我错过了什么？

链接图：http://www.cse.iitb.ac.in/~shashankr/stack.png

Smashing the stack example3.c confusion问同样的问题，但不能解释一般位移的原因。

下图给出了通过在函数中放置断点获得的堆栈视图。

stack content http://www.cse.iitb.ac.in/~shashankr/stack4.png

以下是主要的和有趣的汇编代码：

Dump of assembler (fun): 
0x08048434 <+0>: push %ebp 
0x08048435 <+1>: mov %esp,%ebp 
0x08048437 <+3>: sub $0x18,%esp 
0x0804843a <+6>: mov %gs:0x14,%eax 
0x08048440 <+12>: mov %eax,-0xc(%ebp) 
0x08048443 <+15>: xor %eax,%eax 
0x08048445 <+17>: lea -0x14(%ebp),%eax 
0x08048448 <+20>: add $0x18,%eax 
0x0804844b <+23>: mov %eax,-0x18(%ebp) 
0x0804844e <+26>: mov -0x18(%ebp),%eax 
0x08048451 <+29>: movzbl (%eax),%eax 
0x08048454 <+32>: add $0x5,%eax 
0x08048457 <+35>: mov %eax,%edx 
0x08048459 <+37>: mov -0x18(%ebp),%eax 
0x0804845c <+40>: mov %dl,(%eax) 
0x0804845e <+42>: mov -0xc(%ebp),%eax 
0x08048461 <+45>: xor %gs:0x14,%eax 
0x08048468 <+52>: je  0x804846f <fun+59> 
0x0804846a <+54>: call 0x8048350 <[email protected]> 
0x0804846f <+59>: leave 
0x08048470 <+60>: ret  


Dump of assembler (main) 
0x08048471 <+0>: push %ebp 
0x08048472 <+1>: mov %esp,%ebp 
0x08048474 <+3>: and $0xfffffff0,%esp 
0x08048477 <+6>: sub $0x20,%esp 
0x0804847a <+9>: movl $0x1,0x18(%esp) 
0x08048482 <+17>: movl $0x2,0x1c(%esp) 
0x0804848a <+25>: mov 0x1c(%esp),%eax 
0x0804848e <+29>: mov %eax,0x4(%esp) 
0x08048492 <+33>: mov 0x18(%esp),%eax 
0x08048496 <+37>: mov %eax,(%esp) 
0x08048499 <+40>: call 0x8048434 <fun> 
0x0804849e <+45>: addl $0x1,0x18(%esp) 
0x080484a3 <+50>: addl $0x1,0x1c(%esp) 
0x080484a8 <+55>: mov $0x80485a0,%eax 
0x080484ad <+60>: mov 0x1c(%esp),%edx 
0x080484b1 <+64>: mov %edx,0x8(%esp) 
0x080484b5 <+68>: mov 0x18(%esp),%edx 
0x080484b9 <+72>: mov %edx,0x4(%esp) 
0x080484bd <+76>: mov %eax,(%esp) 
0x080484c0 <+79>: call 0x8048340 <[email protected]> 
0x080484c5 <+84>: leave 
0x080484c6 <+85>: ret

来源

2012-11-11 shashank

请注意，我已经通过反复试验找出了值24。另外，通过gdb反汇编main函数的值为5。 – shashank

变量'p'也应该在堆栈中，所以你可以在那里添加4个字节，我相信。我不确定余额是从哪里来的。 –

现在回想起来，出于效率的原因，参数'a'和'b'也不会从栈中移除，因此会占用内存的其余部分。 –

我相信答案是什么。你有不同的gcc版本吗？无论如何，允许编译器分配比所需更多的堆栈。也许这是基于变量数目的初始“猜测”，但是这并不是通过优化阶段来减少的，这些优化阶段允许将任何变量移动到寄存器。或者在子例程需要的时候保存ecx，ebp或其他寄存器。

反正有一个固定的地址变量可以解决这个问题：a。返回地址= & a [-1]。

来源

2012-11-11 16:07:23

是的，这些机器有不同的gcc版本。你可能对gcc在堆栈上分配一些额外的空间是正确的。当我在第二台机器上执行相同的代码时，我注意到堆栈帧的大小降低了。这也可能是因为第一台机器上的gcc使用了金丝雀的价值。当我做了一个strcpy溢出缓冲区时，我在第一台机器上出现了堆栈粉碎错误。这在第二台机器上没有发生，因为gcc是旧版本，可能没有使用金丝雀的价值。另外，感谢您提供一种解决方法，通过地址查找返回地址的位置。 – shashank

使用堆栈粉碎跳过指令

回答

相关问题