栈溢出与系统调用：Pwn攻击技术详解

1. 从栈溢出到系统调用：Pwn中的经典攻击路径

在二进制安全领域，栈溢出始终是最基础也最经典的漏洞类型。记得我第一次在CTF比赛中遇到栈溢出题目时，那种既兴奋又困惑的感觉至今难忘——明明只是向缓冲区多写了几个字节，怎么就拿到了shell？随着对底层机制理解的深入，我逐渐认识到这背后精巧的内存布局和CPU执行逻辑。

32位和64位系统在参数传递机制上的差异直接影响着我们的利用方式。32位系统通过栈传递参数，而64位则优先使用寄存器（rdi、rsi、rdx、rcx、r8、r9），这种差异导致我们在构造ROP链时需要采用完全不同的策略。我曾在一个实战环境中因为忽略了这种差异，导致精心构造的payload在64位系统上完全失效，这个教训让我深刻理解了"知其然更要知其所以然"的重要性。

2. ret2syscall：直接调用系统调用

2.1 系统调用的底层机制

系统调用是用户态程序与内核交互的唯一入口。在Linux中，32位系统通过int 0x80指令触发系统调用，而64位则使用syscall指令。每个系统调用都有唯一的编号，比如execve的系统调用号在32位系统中是11（0xb），在64位系统中是59（0x3b）。

构造ret2syscall攻击的关键在于正确设置寄存器值。以32位系统执行execve("/bin/sh",0,0)为例：

• eax = 0xb (系统调用号)
• ebx = "/bin/sh"的地址
• ecx = 0 (argv)
• edx = 0 (envp)

2.2 实战中的gadget寻找

使用ROPgadget工具可以快速定位关键指令：

bash复制ROPgadget --binary vuln --only "pop|ret"

典型的利用链构造如下：

1. 填充缓冲区直到覆盖返回地址
2. 用pop eax; ret gadget设置eax
3. 用pop ebx; ret gadget设置ebx
4. 设置其他寄存器
5. 最后指向int 0x80指令地址

注意：不同Linux发行版的libc版本可能导致gadget地址变化，本地测试成功的payload可能无法在远程直接使用。

3. ret2libc：绕过NX保护的经典方案

3.1 libc函数调用的布局艺术

当目标程序启用NX（不可执行栈）保护时，ret2syscall可能失效，这时就需要ret2libc技术。其核心思路是复用程序已加载的libc库中的函数，如system()。

典型的攻击步骤：

1. 泄露libc基地址（通过puts或write输出GOT表项）
2. 计算system和"/bin/sh"的实际地址
3. 构造调用链：system("/bin/sh")

在32位系统中，函数参数通过栈传递，所以payload结构为：

code复制padding + system_addr + return_after_system + binsh_addr

3.2 64位系统的特殊挑战

64位系统中，参数传递规则变为：

• 第一个参数：rdi
• 第二个参数：rsi
• 第三个参数：rdx

因此我们需要先找到pop rdi; ret这样的gadget。一个典型的64位payload结构：

code复制padding + pop_rdi_ret + binsh_addr + system_addr

我曾在一个CTF题目中遇到没有直接pop rdi gadget的情况，最终通过组合其他gadget实现了相同效果：

code复制mov rdi, rsp; ret

4. 从理论到实战：BUU PWN例题精析

4.1 rip题解中的栈迁移技巧

在BUU的rip题目中，缓冲区空间极其有限，常规的ROP链无法完整展开。这时就需要用到栈迁移技术——通过修改ebp/rbp的值，将栈"搬移"到我们控制的更大缓冲区（如.bss段）。

关键步骤：

1. 用read函数将第二阶段payload写入.bss段
2. 构造leave; ret gadget序列：
   • leave指令相当于mov esp, ebp; pop ebp
   • 通过控制ebp指向迁移目标地址
3. 执行流跳转到新栈继续执行

4.2 对抗ASLR的信息泄露

地址随机化（ASLR）是现代系统的主要防护措施之一。要绕过ASLR，通常需要结合信息泄露漏洞。常见方法包括：

• 利用格式化字符串漏洞泄露栈地址
• 通过write/puts输出GOT表项
• 利用堆漏洞泄露libc地址

在实战中，我习惯先检查目标程序的保护机制：

bash复制checksec --file=vuln

然后根据输出结果制定相应的利用策略。例如，只有Partial RELRO时，可以直接修改GOT表；有FULL RELRO时，则需要寻找其他利用路径。

5. 高级技巧与实战心得

5.1 one_gadget的妙用

libc中隐藏着一些可以直接getshell的gadget，使用one_gadget工具可以快速发现它们：

bash复制one_gadget /lib/x86_64-linux-gnu/libc.so.6

这些gadget通常需要满足特定寄存器条件，比如：

• rsp+0x70 == NULL
• [rsp+0x30] == NULL

在实际利用时，可能需要多次尝试不同约束条件的gadget。我曾在一次比赛中通过调整栈布局，最终使第三个gadget的条件得到满足。

5.2 对抗堆栈对齐检查

某些版本的glibc在执行system前会检查堆栈是否16字节对齐。如果发现shell异常退出，可以在调用system前添加一个ret gadget来调整对齐：

code复制padding + ret_gadget + system_addr + binsh_addr

这个技巧看似简单，却帮我解决了不少奇怪的崩溃问题。特别是在64位系统中，这种对齐问题更为常见。

5.3 通用ROP链构造法

当面对未知环境时，我通常会准备一个通用的ROP链构造模板：

1. 首先泄露libc地址
2. 计算所需函数和字符串的偏移
3. 根据架构选择参数传递方式
4. 添加必要的栈调整指令
5. 考虑可能的沙箱限制

这种模块化的思维方式大大提高了我的解题效率。在最近的几场CTF比赛中，这种准备充分的策略让我能够快速适应各种变种题目。