标签：调用函数   断点   信息   情况   button   表示   modified   std   用户输入   

pwn-基础练习

#include <stdio.h>
int main(int argc, char** argv)
{
    int modified;
    char buffer[64];
    modified = 0;
    gets(buffer);        // 引发缓冲区溢出
    if (modified != 0)
    {
        printf("Congratulations, you pwned it.\n");
    }
    else
    {
        printf("Please try again.\n");
    }
    return 0;
}

Dump of assembler code for function main:
                    //压栈
   0x0000555555555145 <+0>:	    push    rbp
   0x0000555555555146 <+1>:	    mov    rbp,rsp
                    //rsp=rsp-0x60,即在栈上分配0x60个字节空间
   0x0000555555555149 <+4>:	    sub    rsp,0x60
                    //将edi的值存入[rbp-0x54]
   0x000055555555514d <+8>:	    mov    DWORD PTR [rbp-0x54],edi
                    //将rsi的值存入[rbp-0x60]
   0x0000555555555150 <+11>:	mov    QWORD PTR [rbp-0x60],rsi
                    //0x0的值存入[rbp-0x4] 这里是modified的值0
   0x0000555555555154 <+15>:	mov    DWORD PTR [rbp-0x4],0x0
                    //将rbp-0x50的值存入rax
   0x000055555555515b <+22>:	lea    rax,[rbp-0x50]
                    //将rax的值存入rdi
   0x000055555555515f <+26>:	mov    rdi,rax
                    //将0x0存入eax
   0x0000555555555162 <+29>:	mov    eax,0x0
                    /调用gets（buffer）读取输入数据
   0x0000555555555167 <+34>:	call   0x555555555040 <gets@plt>
                    //判断modified变量的值是否为0
   0x000055555555516c <+39>:	cmp    DWORD PTR [rbp-0x4],0x0
                    //如果modified不为0，打印成功提示Congratulations, you pwned it
   0x0000555555555170 <+43>:	je     0x555555555180 <main+59>
                    //将rip+0e8b的值存入rdi         成功提示的信息
   0x0000555555555172 <+45>:	lea    rdi,[rip+0xe8b]        # 0x555555556004
                    //调用puts输出数据
   0x0000555555555179 <+52>:	call   0x555555555030 <puts@plt>
                    //无条件跳转到0x55555555518c 也就是 0
   0x000055555555517e <+57>:	jmp    0x55555555518c <main+71>
                    //将rip+0xe99的值存入rdi         错误的提示信息
   0x0000555555555180 <+59>:	lea    rdi,[rip+0xe99]        # 0x555555556020
                    //调用puts输出数据
   0x0000555555555187 <+66>:	call   0x555555555030 <puts@plt>
                    //将0x0的值存入eax
   0x000055555555518c <+71>:	mov    eax,0x0
                    //弹栈操作，恢复ebp、esp
   0x0000555555555191 <+76>:	leave  
                    //栈平衡
   0x0000555555555192 <+77>:	ret    
End of assembler dump.

通过对上面的汇编代码进行分析，我们知道buffer位于[rbp-0x50]处，而modified位于[rbp-0x4]处，两个地址的距离为0x50 - 0x4 = 0x4C，即76，刚好为buffer数组的缓冲区大小。因此当我们输入的数据超过76字节时，modified变量就可以被覆盖。

下面在gdb中进行验证，在gdb中执行b *0x000000000000116c命令对gets的下一条指令下一个断点：

gdb-peda$ b *0x000000000000116c

所以接下就是证明我们的推测了，令其一个窗口使用python语句生成77个个字符，python -c "print ‘a‘*77"

运行程序输入构造的字符串，返回结果

连续输入两次ni，如果je没有跳转，说明modified的值不为0

输入c后程序继续执行，看到提示信息

使用quit退出，这次我们直接执行程序

可以看到，在76个字节以内的字符串，会被提示Please try again。下面输入77个字符试试

可以看到已经成功发起了溢出攻击，程序被PWN掉了！

注：

简单的GCC语法：

如果你只有一个文件（或者只有几个文件），那么就可以不写Makefile文件（当然有Makefile更加方便），用gcc直接编译就行了。在这里我们只介绍几个我经常用的几个参数，第一是 “-o”，它后面的参数表示要输出的目标文件，再一个是 “-c”，表示仅编译（Compile），不连接（Make），如果没有”-c”参数，那么就表示连接，如下面的几个命令：

gcc –c test.c，表示只编译test.c文件，成功时输出目标文件test.o

gcc –c test.c –o test.o ，与上一条命令完全相同

gcc –o test test.o，将test.o连接成可执行的二进制文件test

gcc –o test test.c，将test.c编译并连接成可执行的二进制文件test

gcc test.c –o test，与上一条命令相同

gcc –c test1.c，只编译test1.c，成功时输出目标文件test1.o

gcc –c test2.c，只编译test2.c，成功时输出目标文件test2.o

gcc –o test test1.o test2.o，将test1.o和test2.o连接为可执行的二进制文件test

gcc –c test test1.c test2.c，将test1.o和test2.o编译并连接为可执行的二进制文件test

gcc –m64 test1.c -o test.out 编译64位程序

gcc –m32 test1.c -o test.out 编译32程序    

如果命令出错：

1. apt-get install build-essential module-assistant  
    
    
2. apt-get install gcc-multilib g++-multilib

pwn-基础练习

标签：调用函数   断点   信息   情况   button   表示   modified   std   用户输入   

原文地址：https://www.cnblogs.com/zi-Chuan/p/13064625.html