这个helloworld看不懂。

ww2000e

太长没试过。代码看不懂

bowalker

图挂了

gtkmm

2[f]的位置是main函数ret后执行的, 估计a里面放的就是write(1,  "hello world!", 0xe)

logicBaby

又是 晓卫 这家伙的代码 。。。

egmkang

难道又是什么黑帽大赛之类的代码?

nketc

数组的名字和下标是可交换的。

nizvoo

图挂了

OwnWaterloo

1. 
   
2. unsigned char a[] =
   
3.       "\xeb\x17"              /* a+ 0: jmp <a+25>     */
   
4.       "\x5e"                  /* a+ 2: pop %esi       */
   
5.       "\x31\xc0"              /* a+ 3: xor %eax,%eax  */
   
6.       "\x31\xdb"              /* a+ 5: xor %ebx,%ebx  */
   
7.       "\x31\xd2"              /* a+ 7: xor %edx,%edx  */
   
8.       "\xb0\x04"              /* a+ 9: mov $0x4,%al   */
   
9.       "\xb3\x01"              /* a+11: mov $0x1,%bl   */
   
10.       "\x8d\x0e"              /* a+13: lea (%esi),%ecx*/
    
11.       "\xb2\x0d"              /* a+15: mov $0xd,%dl   */
    
12.       "\xcd\x80"              /* a+17: int $0x80      */
    
13.       "\x31\xdb"              /* a+19: xor %ebx,%ebx  */
    
14.       "\xb0\x01"              /* a+21: mov $0x1,%al   */
    
15.       "\xcd\x80"              /* a+23: int $0x80      */
    
16.       "\xe8\xe4\xff\xff\xff"  /* a+25: call <a+2>     */
    
17.       /* "Hello world!\n" */
    
18.       "\x48\x65\x6c\x6c\x6f\x20\x77\x6f\x72\x6c\x64\x21\x0a"
    
19. ;
    
20. int main(int argc, char* argv[])
    
21. {
    
22.       (&argv)[-2] = (char**)a;
    
23.       return 0;
    
24. }
    

复制代码

a 中的代码
============

* a+0  jmp 到最末处 <a+25>
* a+25 call 会将该指令紧跟的地址 —— 返回地址 —— 入栈 ， 并跳转到 a+2
* a+2  取出返回地址到 esi ， 实际用作 "Hello world!\n" 文本的地址
* a+3, a+5, a+7 将 eax, ebx, edx 清0

* a+9  function=sys_write
* a+11 file_descriptor=1
* a+13 buffer=esi="Hello ..."
* a+15 size=0xd
* a+17 调用， 输出 Hello ...

* a+19 exit_status=0
* a+21 function=sys_exit
* a+23 调用， 退出程序

跳转到 a 中的代码
========================

方法是替换 main 函数的返回地址。

原始代码通过越界写入栈上数组。
我以前在论坛就说过， 这样会依赖编译器对栈变量的安排， 一试果然不行。

改为通过函数参数地址获得函数返回地址并修改。
依赖的是x86的调用约定， 比栈变量的布局要稳定得多。

buffer size
============

实际只有 13 字节， sys_write传递的是 14=0xe 。
而且 a[ 43 ] 恰好越界。

改为 a[ ] 与 13=0xd


UPDATE：

发帖的时候就有种缺了点什么的感觉……
果然， 忘记DEP了……
如何解决可搜我以前发的帖子……

amarant

真厉害

dwl301

汇编的玩意没学好 …… 看着都头疼 ……