粉碎堆栈example3 ala Aleph One

Question

我在Linux x86_64上重现了Smashing the Stack for Fun and Profit的例子3 .但是,我无法理解应该递增到返回地址的正确字节数是多少,以便跳过指令:

0x0000000000400595 <+35>:   movl   $0x1,-0x4(%rbp)

这是我认为x = 1指令的地方.我写了以下内容:

#include <stdio.h>

void fn(int a, int b, int c) {
  char buf1[5];
  char buf2[10];
  int *ret;

  ret = buf1 + 24;
  (*ret) += 7;
}

int main() {
  int x;

  x = 0;
  fn(1, 2, 3);
  x = 1;
  printf("%d\n", x);
}

并在gdb中拆解它.我已禁用地址随机化并使用该-fno-stack-protector选项编译程序.

问题1

我可以从下面的反汇编输出中看到,我想跳过地址指令0x0000000000400595:返回地址callq <fn>和movl指令地址.因此,如果返回地址是0x0000000000400595,并且下一条指令是0x000000000040059c,我应该在返回地址中添加7个字节？

0x0000000000400572 <+0>:    push   %rbp
0x0000000000400573 <+1>:    mov    %rsp,%rbp
0x0000000000400576 <+4>:    sub    $0x10,%rsp
0x000000000040057a <+8>:    movl   $0x0,-0x4(%rbp)
0x0000000000400581 <+15>:   mov    $0x3,%edx
0x0000000000400586 <+20>:   mov    $0x2,%esi
0x000000000040058b <+25>:   mov    $0x1,%edi
0x0000000000400590 <+30>:   callq  0x40052d <fn>
0x0000000000400595 <+35>:   movl   $0x1,-0x4(%rbp)
0x000000000040059c <+42>:   mov    -0x4(%rbp),%eax
0x000000000040059f <+45>:   mov    %eax,%esi
0x00000000004005a1 <+47>:   mov    $0x40064a,%edi
0x00000000004005a6 <+52>:   mov    $0x0,%eax
0x00000000004005ab <+57>:   callq  0x400410 <printf@plt>
0x00000000004005b0 <+62>:   leaveq 
0x00000000004005b1 <+63>:   retq 

问题2

我注意到我可以在返回地址中添加5个字节来代替7,并获得相同的结果.当我这样做时,我是不是跳到指令的中间0x0000000000400595 <+35>: movl $0x1,-0x4(%rbp)？在这种情况下,为什么这不会使程序崩溃,就像我将6个字节添加到返回地址而不是5个字节或7个字节.

问题3

就在堆栈上的buffer1 []就在SFP之前,在它之前,返回地址.那是4个字节通过buffer1 []的结尾.但请记住,buffer1 []实际上是2个字,所以它的长度为8个字节.因此返回地址是从buffer1 []开始的12个字节.

在Aleph 1的示例中,他/她计算返回地址的偏移量,距离buffer1 []的起始位置为12个字节.由于我在x86_64而不是x86_32,我需要重新计算返回地址的偏移量.在x86_64上,是否缓冲区[]仍然是2个字,即16个字节; 并且SFP和返回地址各为8个字节(因为我们是64位),因此返回地址为:buf1 + (8 * 2) + 8相当于buf1 + 24？

Answer 1

首先，也是非常重要的一点需要注意：所有数字和偏移量都非常依赖于编译器。不同的编译器，甚至具有不同设置的同一编译器，都可以生成截然不同的程序集。例如，许多编译器可以（并且将会）删除它，buf2因为它没有被使用。它们也可以删除，x = 0因为其效果未被使用并随后被覆盖。他们还可以删除x = 1所有出现的x并用常量1等替换。

也就是说，您绝对需要为您在特定编译器及其设置上获得的特定程序集生成数字。

问题 1 由于您提供了 的程序集main()，我可以确认您需要向返回地址添加 7 个字节（通常是 ），0x0000000000400595以跳过x=1并转到将0x000000000040059c其加载x到寄存器中以供以后使用。0x000000000040059c - 0x0000000000400595 = 7。

问题 2 仅添加 5 个字节而不是 7 个字节确实会跳到指令中间。然而，这个 2 字节尾部指令恰好（纯属偶然）是另一个有效的指令代码。这就是它不会崩溃的原因。

问题 3 这又非常依赖于编译器和设置。那里几乎一切都可能发生。由于你没有提供反汇编，我只能做出猜测。猜测如下：buf和buf2向上舍入到下一个堆栈单元边界（x64 上为 8 字节）。buf变成8字节，buf2变成16字节。帧指针不会保存到 x64 上的堆栈中，因此没有“SFP”。总共 24 个字节。