栈迁移基础

Posted zuoanfengxi

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了栈迁移基础相关的知识,希望对你有一定的参考价值。

栈迁移


当我们的rop链过长时很可能栈空间不够,并且ebp之前的空间其实只是填充一些没什么用的数据

栈迁移机理


与传统的pop_ret类似,利用level_ret实现栈的迁移,都是寻找很小短的零碎代码,进行拼接,和拼积木很像。

level ret//拆解
mov ebp,esp//esp跟着ebp走
pop ebp //栈基指针的转移
pop eip//ret 

示例

技术图片

.data:0804A008 count           dd 539h    //1337用十六进制表示就是539h

当我们还不知道level_ret时,采用一般的rop必然要在回到输入点,就这道题就是(main函数),但发现main函数受到count的影响仅一次main(无法重复利用main),所以要换一种思路。那我们能否利用有效的代码段与一段可以容纳数据(在我们的脚本中的要发送的数据)构成类似栈的结构,答案当然是可以的

显然有read 函数,但是(0x40-0x28)真正的数据填充区域有限,可有read函数,就想能否将数据写入某个位置(比如.bss)read(0,buf,0x100)

                    |    buf(ebp) |  //pop数值到ebp,改变基址
                    |   read(ret) |  //pop到eip,执行read(0,buf,0x100)
                    |     ret     |  //执行完read后返回,pop到eip
                    |     0       |
                    |     buf     |
                    |     0x100   |

这是一开始的栈的布局,看着很合理,但实际上还有缺陷,,比如执行完read后执行流终断,,因为.bss没有栈的pop的机制段,放在多数据却没法用。

                    |       buf        |//pop数值到ebp,改变基址
                    |     read_plt     |//pop到eip,执行read(0,buf,0x100)
                    |       leave_ret  |//pop到eip,执行leave_ret=>esp被代跑(触发)
                    |         0        |//此时栈指针都没了(栈已被移走;触发后)
                    |       buf        |
                    |       0x100      |

泄露地址

            .bss     |    buf2       |//这里写buf2的原因是pop ebp, 改变基址
                     |    puts_plt   |//这里要打印泄露puts的装载地址,leave_ret 的ret那一步
                     |   pop_ret     |//puts(puts_got)后,pop到eip,执行
                     |  puts_gots    |//要泄露的参数值,之后pop掉
                  
 pop ret        =》  |     read_plt  |//pop到eip,执行read(0,buf,0x100)   
                     |     leave_ret  |//pop到eip,执行leave_ret=>esp被代跑(触发)                                                                                       
                     |      0        |//此时栈指针都没了(已被移走;触发后)
                     |    buf        |
                     |    0x100      |      

调用system 函数

                     
            .bss     |    bbbb       |//随便 改变基址pop ebp 那一步
                     |    system     |//leave_ret 的ret那一步
                     |    cccc       |//返回地址随便写
                     |  binsh_addr   |                                                                               

技术图片

上图仅供参考

以上是关于栈迁移基础的主要内容,如果未能解决你的问题,请参考以下文章

自从有了这个工具,一键代码迁移不在话下

全栈编程系列SpringBoot整合Shiro(含KickoutSessionControlFilter并发在线人数控制以及不生效问题配置启动异常No SecurityManager...)(代码片段

EF6 自定义迁移表名

迁移到 AndroidX 后,findFragmentById 为片段返回 null

关于栈迁移的那些事儿

[vscode]--HTML代码片段(基础版,reactvuejquery)