duangsuse::Echo

这就是一个正确的栗子，它给栈帧分配的是两个 dword 的空间，而上面那个是没有完成分配的任务，居然只给 64 位的东西分配 32 位的空间，读写都会冲突

执行时是怎么样的呢？ 🤔（当然这里可能不严谨，不过也够了，反正大家很多人连 CDEF 系统栈是怎么维护的都不知道，也算是科普一下）

我们的 caller 叫做 main，它执行如下代码以调用我们的子程序 bd：

sub esp, (2*4)

<sp> [....] [....] |*****

mov ecx, ; buffer

; ecx = (char *) buffer

mov [esp+4], "SGVsbG8K"

<sp> [....] [*"SGV....] |*****

mov [esp], ecx

<sp> [*buffer] [*"SGV....] |*****

call bd

; eip = *bd

然后机器开始解释执行我们的程序逻辑：

push ebp

<sp> [*bp@main] [return@main] [*buffer] [*"SGV....] |*****

mov ebp, esp

<sp><bp> [*bp@main] [return@main] [*buffer] [*"SGV....] |*****

push ebx

<sp> [bx@main] <bp> [*bp@main] [return@main] [*buffer] [*"SGV....] |*****

lea esp, [esp-(4*2 * 2)]

<sp> [........] [........] [bx@main] <bp> [*bp@main] [return@main] [*buffer] [*"SGV....] |*****

==

call __x86_get_pc_thunk_bx

<sp> [return@bd] [........] [........] [bx@main] <bp> [*bp@main] [return@main] [*buffer] [*"SGV....]
; eip = *__x86_get_pc_thunk_bx

mov ebx, dword [esp]

; ebx = (long) *<sp>
（其实就是拿到位于 .text 段的 ip 指针，也就是 .text+bd+???，GCC 4.9 拿这个 bx （就是当前函数位于的 call __x86_get_pc_thunk_bx 时的 eip）指针去算 .rodata 段的静态只读数据地址）
（我们要重新用汇编重写的时候必须也重写这种 ebx 偏移量，把对它们的使用替换成 .rodata 段实际的偏移地址，NASM 可以帮我们做这件事，直接 section .rodata 然后定义 byte/dword 静态数据指针就可以了）

ret

<sp> [........] [........] [bx@main] <bp> [*bp@main] [return@main] [*buffer] [*"SGV....]
; eip = *bd
; eax = *bd+5i

== 然后我们又回到了自己的程序

add ebx, 0x23fb

; 现在 ebx 指向了 .rodata （ds）段的某个地址，不过，本函数是不用
; GCC（GNU Compiler Collection） 4.9 是相当老的编译器了，不要忘记现在 GCC 都出 8 了

mov eax, bd_arg2 (ebp+0xc)
eax = my_arg2
mov bd_suba2(esp+0x4)

, eax
mov eax, bd_arg1

(ebp+0x8)
eax = my_arg1
mov bd_suba1(esp),

eax

<sp> [my_arg1|my_arg2] [........] [bx@main] <bp> [*bp@main] [return@main] [*buffer] [*"SGV....]
🤔所以，我们为什么要多分配这么多无用的东西？浪费了一个双字的空间（虽然 mov subarg2 的时候可能溢出到别的存储单元）

call BD

; BD(my_arg1, my_arg2)

🤔

lea esp, [esp+framesz]

[my_arg1|my_arg2] [........] <sp> [bx@main] <bp> [*bp@main] [return@main] [*buffer] [*"SGV....]

一瞬返回

pop ebx

<sp> <bp> [*bp@main] [return@main] [*buffer] [*"SGV....]

pop ebp

<sp> [return@main] [*buffer] [*"SGV....]

ret

一瞬重置代码指针返回 main+???

最后 main 收拾调用现场

== main+???

add esp, (2*4)

<sp> |*****

对 bd 的调用就完成了（迫真）

33 viewsduangsuse ¯\_(ツ)_/¯ |学渣 ∈ [E²PROM, 含幺半群), edited 05:13