修改栈返回地址-改变程序执行流程

修改栈中函数调用返回地址 改变程序执行流程 任务 修改栈中函数调用返回地址 改变程序执行流程 在本例中 通过修改函数 function 调用返回地址 使程序跳过执行 x 1 的赋值语句 从而使输出结果为 0 为了实现这个目标 需要 1 找到函数调用返回地址在栈中的位置 由于 c 程序中无法直接取得返回地址 本例中以 buffer1 地 址为基址 通过计算其与返回地址在栈中地址的差值 得到返 回地址 在栈中 的地址 对应程序中的 7 8 句 7 ret buffer1 12 8 ret 5 buffer1 和返回地址通过 gdb 调试得到 2 计算所跳过指令与下一条指令的差值 这通过反汇编代码可 以直接计算得出 源程序 1 i include 2 void function int a int b int c 3 4 char buffer1 5 5 char buffer2 10 6 int ret 7 ret buffer1 12 8 ret 5 9 10 11 void main 12 13 int x 14 x 0 15 function 1 2 3 16 x 1 17 printf d n x 18 编译 gcc o e g e c 调试 gdb e 反汇编 disassemble main 0 xe push ebp 0 xf mov esp ebp 0 x and 0 xfffffff0 esp 0 x sub 0 x20 esp 0 x movl 0 x0 0 x1c esp 0 xf movl 0 x3 0 x8 esp 0 x movl 0 x2 0 x4 esp 0 xf movl 0 x1 esp 0 x call 0 x 0 xb movl 0 x1 0 x1c esp 0 x mov 0 x eax 0 x mov 0 x1c esp edx 0 xc mov edx 0 x4 esp 0 x mov eax esp 0 x call 0 x 0 x leave 0 x ret disassemble function 0 x push ebp 0 x mov esp ebp 0 x sub 0 x28 esp 0 xa mov gs 0 x14 eax 0 x mov eax 0 xc ebp 0 x xor eax eax 0 x lea 0 x21 ebp eax 0 x add 0 xc eax 0 xb mov eax 0 x1c ebp 0 xe mov 0 x1c ebp eax 0 x mov eax eax 0 x lea 0 x5 eax edx 0 x mov 0 x1c ebp eax 0 x mov edx eax 0 xb mov 0 xc ebp eax 0 xe xor gs 0 x14 eax 0 x je 0 xc 0 x call 0 x 0 xc leave Buffer1Buffer1 地址地址 要跳过要跳过 指令地指令地 址址 0 xd ret 下面通过设置断点和单步调试的方法找到所需地址 在 x 0 处设置断点 break 14 运行 run 寄存器情况 gdb info registers eax 0 xbffff3e4 ecx 0 x133a3a60 edx 0 x11 ebx 0 x287ff4 esp 0 xbffff310 0 xbffff310 ebp 0 xbffff338 0 xbffff338 esi 0 x00 edi 0 x00 eip 0 x0 x eflags 0 x282 SF IF cs 0 x73 115 ss 0 x7b 123 ds 0 x7b 123 es 0 x7b 123 fs 0 x00 gs 0 x33 51 栈的情况 0 xbffff310 0 x0 x00287ff40 xb00 xbffff338 0 xbffff320 0 x0015e9850 x0011eb800 xbb0 x00287ff4 0 xbffff330 0 xb00 x 下一条指令 gdb display i pc 0 x movl 0 x0 0 x1c esp 继续执行 gdb si 15function 1 2 3 1 x i pc 0 xf movl 0 x3 0 x8 esp 看寄存器 gdb info registers eax 0 xbffff3e4 ecx 0 x133a3a60 edx 0 x11 ebx 0 x287ff4 esp 0 xbffff310 0 xbffff310 ebpebp ebp 0 xbffff338 0 xbffff338 esi 0 x00 edi 0 x00 eip 0 xf0 xf eflags 0 x282 SF IF cs 0 x73 115 ss 0 x7b 123 ds 0 x7b 123 es 0 x7b 123 fs 0 x00 gs 0 x33 51 栈 gdb x 10 x esp 0 xbffff310 0 x0 x00287ff40 xb00 xbffff338 0 xbffff320 0 x0015e9850 x0011eb800 xbb0 x 0 xbffff330 0 xb00 x 继续执行下一条指令 gdb si 0 x15function 1 2 3 1 x i pc 0 x movl 0 x2 0 x4 esp 寄存器 gdb info registers eax 0 xbffff3e4 ecx 0 x133a3a60 edx 0 x11 ebx 0 x287ff4 esp 0 xbffff310 0 xbffff310 ebp 0 xbffff338 0 xbffff338 esi 0 x00 edi 0 x00 eip 0 x0 x eflags 0 x282 SF IF cs 0 x73 115 ss 0 x7b 123 ds 0 x7b 123 es 0 x7b 123 fs 0 x00 gs 0 x33 51 栈 X X 地址在这地址在这 gdb x 10 x esp 0 xbffff310 0 x0 x00287ff40 x0 xbffff338 0 xbffff320 0 x0015e9850 x0011eb800 xbb0 x 0 xbffff330 0 xb00 x 继续下一条指令 gdb si 0 xf 15function 1 2 3 1 x i pc 0 xf movl 0 x1 esp 寄存器 gdb info registers eax 0 xbffff3e4 ecx 0 x133a3a60 edx 0 x11 ebx 0 x287ff4 esp 0 xbffff310 0 xbffff310 ebp 0 xbffff338 0 xbffff338 esi 0 x00 edi 0 x00 eip 0 xf0 xf eflags 0 x282 SF IF cs 0 x73 115 ss 0 x7b 123 ds 0 x7b 123 es 0 x7b 123 fs 0 x00 gs 0 x33 51 栈 gdb x 10 x esp 0 xbffff310 0 x0 x0 x0 xbffff338 0 xbffff320 0 x0015e9850 x0011eb800 xbb0 x 0 xbffff330 0 xb00 x 继续下一条指令 gdb si 0 x15function 1 2 3 1 x i pc 0 x call 0 x 寄存器 gdb info registers eax 0 xbffff3e4 ecx 0 x133a3a60 edx 0 x11 ebx 0 x287ff4 esp 0 xbffff310 0 xbffff310 ebp 0 xbffff338 0 xbffff338 esi 0 x00 edi 0 x00 eip 0 x0 x eflags 0 x282 SF IF cs 0 x73 115 ss 0 x7b 123 ds 0 x7b 123 es 0 x7b 123 fs 0 x00 gs 0 x33 51 栈 参数 1 被压入栈 gdb x 10 x esp 0 xbffff310 0 x0 x0 x0 xbffff338 0 xbffff320 0 x0015e9850 x0011eb800 xbb0 x 0 xbffff330 0 xb00 x 开始调用函数 function gdb si function a 1 b 2 c 3 at e c 3 3 1 x i pc 0 x push ebp 寄存器 esp 值减小了 4 gdb info registers eax 0 xbffff3e4 ecx 0 x133a3a60 edx 0 x11 ebx 0 x287ff4 esp 0 xbffff30c 0 xbffff30c ebp 0 xbffff338 0 xbffff338 esi 0 x00 edi 0 x00 eip 0 x0 x eflags 0 x282 SF IF cs 0 x73 115 ss 0 x7b 123 ds 0 x7b 123 es 0 x7b 123 fs 0 x00 gs 0 x33 51 栈 返回地址被压入栈 gdb x 10 x esp 0 xbffff30c 0 xb 0 x0 x0 x 0 xbffff31c 0 xbffff3380 x0015e9850 x0011eb800 xbb 0 xbffff32c 0 x0 xb0 通过查看栈中内容 我们发现 0 xb 原来是 call 返回后下一条指令 的地址 0 xb movl 0 x1 0 x1c esp 我们要修正的正是这个地址 其位于 0 xbffff30c 处 执行下一条指令 push ebp gdb si 0 x3 1 x i pc 0 x mov esp ebp 寄存器 gdb info registers eax 0 xbffff3e4 ecx 0 x133a3a60 edx 0 x11 ebx 0 x287ff4 esp 0 xbffff308 0 xbffff308 ebp 0 xbffff338 0 xbffff338 esi 0 x00 edi 0 x00 eip 0 x0 x eflags 0 x282 SF IF cs 0 x73 115 ss 0 x7b 123 ds 0 x7b 123 es 0 x7b 123 fs 0 x00 gs 0 x33 51 返回地址返回地址 栈 ebp 的值入栈 gdb x 10 x esp 0 xbffff308 0 xbffff3380 xb 0 x0 x 0 xbffff318 0 x0 xbffff3380 x0015e9850 x0011eb80 0 xbffff328 0 xbb0 x 执行下一条指令 mov esp ebp gdb si 0 x3 1 x i pc 0 x sub 0 x28 esp 寄存器 ebp 被 esp 赋值 gdb info registers eax 0 xbffff3e4 ecx 0 x133a3a60 edx 0 x11 ebx 0 x287ff4 esp 0 xbffff308 0 xbffff308 ebp 0 xbffff308 0 xbffff308 esi 0 x00 edi 0 x00 eip 0 x0 x eflags 0 x282 SF IF cs 0 x73 115 ss 0 x7b 123 ds 0 x7b 123 es 0 x7b 123 fs 0 x00 gs 0 x33 51 栈 0 xbffff308 0 xbffff3380 xb 0 x0 x 0 xbffff318 0 x0 xbffff3380 x0015e9850 x0011eb80 0 xbffff328 0 xbb0 x 执行下一条指令 sub 0 x28 esp gdb si 3 1 x i pc 0 xa mov gs 0 x14 eax 寄存器 gdb info registers eax 0 xbffff3e4 ecx 0 x133a3a60 edx 0 x11 ebx 0 x287ff4 esp 0 xbffff2e0 0 xbffff2e0 ebp 0 xbffff308 0 xbffff308 esi 0 x00 edi 0 x00 eip 0 xa0 xa eflags 0 x282 SF IF cs 0 x73 115 ss 0 x7b 123 ds 0 x7b 123 es 0 x7b 123 fs 0 x00 gs 0 x33 51 栈 gdb x 10 x esp 0 xbffff2e0 0 x00237e490 x0015e7850 xbffff2f8 0 x00145ae5 0 xbffff2f0 0 x0 x08049ff40 xbffff3080 x 0 xbffff300 0 x0011eb800 x08049ff4 执行下一条指令 mov gs 0 x14 eax gdb si 0 x3 1 x i pc 0 x mov eax 0 xc ebp 寄存器 gdb info registers eax 0 x3f8efa00 ecx 0 x133a3a60 edx 0 x11 ebx 0 x287ff4 esp 0 xbffff2e0 0 xbffff2e0 ebp 0 xbffff308 0 xbffff308 esi 0 x00 edi 0 x00 eip 0 x0 x eflags 0 x282 SF IF cs 0 x73 115 ss 0 x7b 123 ds 0 x7b 123 es 0 x7b 123 fs 0 x00 gs 0 x33 51 执行下一条指令 mov eax 0 xc ebp gdb si 0 x3 1 x i pc 0 x xor eax eax 寄存器 gdb info registers eax 0 x3f8efa00 ecx 0 x133a3a60 edx 0 x11 ebx 0 x287ff4 esp 0 xbffff2e0 0 xbffff2e0 ebp 0 xbffff308 0 xbffff308 esi 0 x00 edi 0 x00 eip 0 x0 x eflags 0 x282 SF IF cs 0 x73 115 ss 0 x7b 123 ds 0 x7b 123 es 0 x7b 123 fs 0 x00 gs 0 x33 51 栈 gdb x 10 x esp 0 xbffff2e0 0 x00237e490 x0015e7850 xbffff2f8 0 x00145ae5 0 xbffff2f0 0 x0 x08049ff40 xbffff3080 x3f8efa00 0 xbffff300 0 x0011eb800 x08049ff4 执行 xor eax eax gdb si 7ret buffer1 12 1 x i pc 0 x lea 0 x21 ebp eax 寄存器 gdb info registers eax 0 x00 ecx 0 x4a6d85dc edx 0 x11 ebx 0 x287ff4 esp 0 xbffff2e0 0 xbffff2e0 ebp 0 xbffff308 0 xbffff308 esi 0 x00 edi 0 x00 eip 0 x0 x eflags 0 x246 PF ZF IF cs 0 x73 115 ss 0 x7b 123 ds 0 x7b 123 es 0 x7b 123 fs 0 x00 gs 0 x33 51 栈 gdb x 10 x esp 0 xbffff2e0 0 x00237e490 x0015e7850 xbffff2f8 0 x00145ae5 0 xbffff2f0 0 x0 x