![](/img/trans.png)
[英]Why would this shellcode work if it does NOT pass 0 as the environment pointer for execve?
[英]Why my shellcode does not work (in Linux)?
我在下面寫了一個小的shellcode:
#include <stdlib.h>
int main()
{
__asm__("jmp calloffset\n"
"poploffset: popl %%esi\n"
"movl $1,%%eax\n"
"movl $6,%%ebx\n"
"int $0x80\n"
"calloffset: call poploffset\n"
".string \"/bin/bash\"\n":::"esi");
exit(1);
}
當shellcode工作時,它將返回6。實際上,以上代碼運行良好,main函數確實返回了6。
然后將代碼嵌入到C程序中:
#include <stdlib.h>
#include <unistd.h>
char shellcode[]="\xeb\x0d\x5e\xb8\x01\x00\x00\x00\xbb\x06\x00\x00\x00\xcd\x80\xe8\xee\xff\xff\xff";
void func()
{
int * ret;
ret=(int *)&ret+0x08;
*ret=(int *)shellcode;
}
int main()
{
func();
exit(0);
}
在正常情況下,代碼應返回6。但是它始終都返回0。
我認為我的代碼沒有錯。 我會告訴你的。
首先,我從gdb獲取val ret的地址:
(gdb) print &ret
$1 = (int **) 0xbffff2f4
然后我在main中獲得下一條調用指令的地址:
(gdb) disass main
Dump of assembler code for function main:
0x08048ccb <+0>: push %ebp
0x08048ccc <+1>: mov %esp,%ebp
0x08048cce <+3>: and $0xfffffff0,%esp
0x08048cd1 <+6>: sub $0x10,%esp
0x08048cd4 <+9>: call 0x8048cb0 <func>
0x08048cd9 <+14>: movl $0x0,(%esp)
0x08048ce0 <+21>: call 0x80495c0 <exit>
End of assembler dump.
顯然,它是0x08048cd9。
然后,我得到將上述地址存儲在堆棧中的地址:
(gdb) x/16xw $esp
0xbffff2e8: 0xbffff3bc 0x00000001 0x00000000 0x08049460
0xbffff2f8: 0xbffff318 0x08048cd9 0x0804972f 0x080d6044
0xbffff308: 0x08049797 0x00000000 0x08049460 0x080493c0
0xbffff318: 0x00000000 0x08048e91 0x00000001 0xbffff3b4
顯然,該地址是0xbffff2f8 + 0x04 = 0xbffff2fc。 val ret的地址為0xbffff2f4。
因此, ret=(int *)&ret+0x08
應該獲得正確的地址。 並且*ret=(int *)shellcode
應該將*ret=(int *)shellcode
的地址插入堆棧。 然后程序運行到shellcode中,最后在程序返回時得到6。
我錯了嗎?
我似乎找到了錯誤的地方:
(gdb) disass func
Dump of assembler code for function func:
0x08048cb0 <+0>: push %ebp
0x08048cb1 <+1>: mov %esp,%ebp
0x08048cb3 <+3>: sub $0x28,%esp
0x08048cb6 <+6>: lea -0xc(%ebp),%eax
0x08048cb9 <+9>: add $0x20,%eax
0x08048cbc <+12>: mov %eax,-0xc(%ebp)
0x08048cbf <+15>: mov -0xc(%ebp),%eax
0x08048cc2 <+18>: mov $0x80d6028,%edx
0x08048cc7 <+23>: mov %edx,(%eax)
0x08048cc9 <+25>: movl $0x1,(%esp)
0x08048cd0 <+32>: call 0x8053380 <sleep>
0x08048cd5 <+37>: leave
0x08048cd6 <+38>: ret
End of assembler dump.
指令add $0x20,%eax
很奇怪。 怎么會這樣
編譯器可以自由地將“ ret”變量放在所需的func()堆棧框架中的任何位置。 大概(我太懶了,無法從反匯編中得出數學值),您的8偏移量完全是錯誤的。 請注意,正在設置一個40字節的幀。
指令
add $0x20,%eax
很奇怪。 怎么會這樣
int * ret;
ret=(int *)&ret+0x08;
這就是C指針數學的工作方式-此加法將ret
更改為0x08 * sizeof(int)
字節。 這就是0x20
來源。 但是安迪·羅斯(Andy Ross)的觀察是正確的,編譯器可以自由地按需要安排堆棧框架,因此任何重新編譯(尤其是使用不同的編譯器設置)都可以修改框架布局。
聲明:本站的技術帖子網頁,遵循CC BY-SA 4.0協議,如果您需要轉載,請注明本站網址或者原文地址。任何問題請咨詢:yoyou2525@163.com.