大家好，这是我第一次在看雪上发表。
这是我的一次elf文件的专题报告，内容也是由浅入深，重点讲述了ELF文件的结构、got和plt、一次重要的elf文件实验逆向。
有兴趣的，请自行下载下面的附件。
这里我简要介绍一个实验。

明显foo()存在栈溢出漏洞，同时dummy()模仿大型的程序。在大型的程序中，jmp esp 这样的代码，很容易找到。

关闭：ASLR（系统级）
命令：sudo sysctl kernel.randomize_va_space=0
禁用：canary 和 NX
命令：gcc victim.c -o victim -g -m32 -no-pie -masm=intel -fno-stack-protector -z execstack

最简单的办法就是把想执行的代码用机器码表示, 即俗称的shellcode, 将其写入程序, 然后将返回地址修改为该段shellcode的起始地址。。

返回地址看似是buf+10, 但考虑到编译器的不同会导致预留(对齐)不同的空间, 所以需要精确确认. 先生成(或者自己写)一个有固定模式的字符串, 这里用De Brujin序列:

然后用gdb启动victim程序调试并输入上述paylod:

看到程序发生段错误, 并且PC指针eip的值为0x41494141, 即小端的AAIA, 出现在De Brujin序列的第23字节, 所以可以确定输入溢出到第23字节时覆盖了PC指针. 确定了位置, 那么该写哪个地址值呢? 我们知道应该要跳转到shellcode头部, shellcode写在buf中, 而buf则在栈上(还记得上面的栈帧表格吗?), 反汇编foo函数:

看9~18行可以发现buf的地址为ebp-0x12,我们是不是可以直接跳转到硬编码的buf地址呢? 我们可以自己试验每次断点在foo时打印寄存器值:

故，我选用了通用的/bin/sh
现在需要我们做什么：1.找到lib地址 2.找到system地址 3.确定/bin/sh
1.

2.

3.

最后构造payload='A'*22+system地址+任意地址+bin/sh地址

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！