为什么我的shellcode不能工作（在Linux中）？

我在下面写了一个小shellcode：

#include <stdlib.h>

int main()
{
    __asm__("jmp calloffsetn"
        "poploffset: popl %%esin"
        "movl $1,%%eaxn"
        "movl $6,%%ebxn"
        "int $0x80n"
        "calloffset: call poploffsetn"
        ".string "/bin/bash"n":::"esi");

    exit(1);
}

当shellcode工作时，它会返回6.实际上，上面的代码运行良好，主函数的确返回6。

然后我将代码嵌入到C程序中：

#include <stdlib.h>
#include <unistd.h>

char shellcode[]="xebx0dx5exb8x01x00x00x00xbbx06x00x00x00xcdx80xe8xeexffxffxff";

void func()
{
    int * ret;
    ret=(int *)&ret+0x08;
    *ret=(int *)shellcode;

}

int main()
{
    func();
    exit(0);
}

在正常情况下，代码应该返回6.但它始终返回0。

我不认为我的代码是错的。 我会告诉你的。

首先，我从gdb获取val ret的地址：

(gdb) print &ret
$1 = (int **) 0xbffff2f4

我主要得到下一个呼叫指令的地址：

(gdb) disass main
Dump of assembler code for function main:
   0x08048ccb <+0>: push   %ebp
   0x08048ccc <+1>: mov    %esp,%ebp
   0x08048cce <+3>: and    $0xfffffff0,%esp
   0x08048cd1 <+6>: sub    $0x10,%esp
   0x08048cd4 <+9>: call   0x8048cb0 <func>
   0x08048cd9 <+14>:    movl   $0x0,(%esp)
   0x08048ce0 <+21>:    call   0x80495c0 <exit>
End of assembler dump.

显然，它是0x08048cd9。

然后，我得到了将上面地址存储在堆栈中的地址：

(gdb) x/16xw $esp
0xbffff2e8: 0xbffff3bc  0x00000001  0x00000000  0x08049460
0xbffff2f8: 0xbffff318  0x08048cd9  0x0804972f  0x080d6044
0xbffff308: 0x08049797  0x00000000  0x08049460  0x080493c0
0xbffff318: 0x00000000  0x08048e91  0x00000001  0xbffff3b4

显然，地址是0xbffff2f8 + 0x04 = 0xbffff2fc。 val ret的地址是0xbffff2f4。

所以， ret=(int *)&ret+0x08应该得到正确的地址。 *ret=(int *)shellcode应该将*ret=(int *)shellcode的地址插入到堆栈中。 然后程序运行到shellcode中，最后当程序返回时我得到6。

我错了吗？

我似乎找到了错误的地方：

(gdb) disass func
Dump of assembler code for function func:
   0x08048cb0 <+0>: push   %ebp
   0x08048cb1 <+1>: mov    %esp,%ebp
   0x08048cb3 <+3>: sub    $0x28,%esp
   0x08048cb6 <+6>: lea    -0xc(%ebp),%eax
   0x08048cb9 <+9>: add    $0x20,%eax
   0x08048cbc <+12>:    mov    %eax,-0xc(%ebp)
   0x08048cbf <+15>:    mov    -0xc(%ebp),%eax
   0x08048cc2 <+18>:    mov    $0x80d6028,%edx
   0x08048cc7 <+23>:    mov    %edx,(%eax)
   0x08048cc9 <+25>:    movl   $0x1,(%esp)
   0x08048cd0 <+32>:    call   0x8053380 <sleep>
   0x08048cd5 <+37>:    leave  
   0x08048cd6 <+38>:    ret    
End of assembler dump.

该指令add $0x20,%eax很奇怪。 这怎么会发生？

---

该指令add $0x20,%eax很奇怪。 这怎么会发生？

int * ret;
ret=(int *)&ret+0x08;

这就是C指针数学运算的原理 - 这种加法改变了0x08 * sizeof(int)字节的ret值。 这就是0x20来源。 但Andy Ross的观察是正确的，编译器可以自由地安排堆栈帧的方式，所以任何重新编译，尤其是使用不同的编译器设置，都可以修改帧布局。

---

编译器可以自由地将“ret”变量放在func（）所需的栈帧的任何位置。 据推测（我懒得从反汇编中算出数学），你偏移8是完全错误的。 请注意，正在设置一个40字节的帧。

链接地址: http://www.djcxy.com/p/87125.html

上一篇: Why my shellcode does not work (in Linux)?

下一篇: Select all images on Pinterest for moving to another board