学PWN 栈溢出

https://zhuanlan.zhihu.com/p/25816426#

通用寄存器
    一般寄存器（eax、ebx、ecx、edx）
        eax 被称为累加寄存器
        ebx 被称为基址寄存器
        ecx 被称为记数寄存器
        edx 被称为数据寄存器
    索引寄存器（esi、edi）
        esi 指向要处理的数据地址
        edi 指向存放处理结果的数据地址
    以及堆栈指针寄存器（esp、ebp）
特殊寄存器（被特定的汇编指令使用，不能用来任意存储数据）
    段地址寄存器（ss、cs、ds、es、fs、gs）
        存储内存分段地址
        ss 存储函数调用栈
        cs 存储代码段
        ds 存储数据段
        es、fs、gs 是附加的存储数据段地址
    标志位寄存器（EFLAGS）
        OF 数值溢出
        IF 中断
        ZF 运算结果为
        CF 运算产生进位
    以及指令指针寄存器（eip）

MOV：数据传输指令，将 SRC 传至 DST，格式为
    MOV DST, SRC;
PUSH：压入堆栈指令，将 SRC 压入栈内，格式为
    PUSH SRC;
POP：弹出堆栈指令，将栈顶的数据弹出并存至 DST，格式为
    POP DST;
LEA：取地址指令，将 MEM 的地址存至 REG ，格式为
    LEA REG, MEM;
ADD／SUB：加／减法指令，将运算结果存至 DST，格式为
    ADD/SUB DST, SRC;
AND／OR／XOR：按位与／或／异或，将运算结果存至 DST ，格式为
    AND/OR/XOR DST，SRC;
CALL：调用指令，将当前的 eip 压入栈顶，并将 PTR 存入 eip，格式为
    CALL PTR;
RET：返回指令，操作为将栈顶数据弹出至 eip，格式为
    RET;

攻击的时机：发生函数调用或者结束函数调用
攻击的方式：修改 控制程序执行指令的关键寄存器eip 的值
攻击的目标：让eip载入攻击指令的地址

返回地址 指向溢出数据中的一段指令（shellcode）
返回地址 指向内存中已经有的函数 （return2libc）
返回地址 执行内存中已经有的一段指令（rop）
修改返回地址，让其指向另外一个函数（hijack GOT）

技术生效的前提： 
1. 关闭地址随机化 
2. shellcode有权限

payload : padding1 + address of shellcode + padding2 + shellcode

payload: padding1 + address of system() + padding2 + address of “/bin/sh”

payload : padding + address of gadget
payload : padding + address of gadget  + address of gadget  + ......
+ address of gadget n
payload : padding + address of gadget  + param for gadget  + address of gadget  + param for gadget  + ...... + address of gadget n + shellcode

 gadget 执行完毕可以将控制权交给下一个 gadget
 gadget 的最后一步应该是 RET 指令

静态链接
    可执行文件包含外部函数的全部代码
动态链接
    可执行文件并不包含外部函数的代码
    运行时将动态链接库（若干外部函数的集合）加载到内存的某个位置
    发生调用时去链接库定位所需的函数
        GOT 全称是全局偏移量表（Global Offset Table）
            存储外部函数在内存的确切地址
            GOT 存储在数据段（Data Segment）内
            可以在程序运行中被修改
        PLT 全称是程序链接表
            存储外部函数的入口点（entry）
            PLT 存储在代码段（Code Segment）内
            运行之前就已经确定并且不会被修改

函数调用的汇编指令中找到 PLT 表中该函数的入口点位置，从而定位到该函数在 GOT 中的条目

假如我们知道了函数 A 的运行时地址（读取 GOT 表内容），也知道函数 A 和函数 B 在动态链接库内的相对位置，就可以推算出函数 B 的运行时地址