缓冲区溢出解密二

原作者: [db:作者] 来自: [db:来源] 收藏邀请

而如果ESP被PUSH到堆栈，这是堆栈的表示：
|_parametre_I___| EBP 12
|_parametre II__| EBP 8
|_return adress_| EBP 4
|___saved_ESP___| EBP ESP
|_local var I __| EBP-4
|_local var II__| EBP-8
在上面的图中，变量I 和II是传递给函数的参数。在返回地址和保存ESP之后，var I和II是函数的局部变量。现在，如果我们总结所有我们所讲的，当调用一个函数的时候：
1.我们保存老的堆栈指针，PUSH它到堆栈 2.我们保存下一个指令的地址(返回地址)，PUSH它到堆栈。3.我们开始执行程序指令。
当我们调用一个函数时，上面3步都做了。
让我们在一个生动的例子中看堆栈的操作。
a.c :
void f(int a, int b, int c)
{
char z[4];
}
void main()
{
f(1, 2, 3);
} 用-g标志编译这个从而能够调试：
[murat@victim murat]$ gcc -g a.c -o a
让我们看看这里发生了什么：
[murat@victim murat]$ gdb -q ./a
(gdb) disas main
Dump of assembler code for function main:
0x8048448 : pushl 雙
0x8048449 : movl %esp,雙
0x804844b : pushl $0x3
0x804844d : pushl $0x2
0x804844f : pushl $0x1
0x8048451 : call 0x8048440
0x8048456 : addl $0xc,%esp
0x8048459 : leave
0x804845a : ret
End of assembler dump.
(gdb)
以上可见，main()函数中第一个指令是：
0x8048448 : pushl 雙
它支持老的指针，并把它压入堆栈。接着，拷贝老的堆栈指针倒ebp寄存器：
0x8048449 : movl %esp,雙
因而，从那时起，在函数中，我们将用EBP引用函数的局部变量。这两个指令被称为”程序引入”。接着，我们反序PUSH函数f()的参数到堆栈中。
0x804844b : pushl $0x3
0x804844d : pushl $0x2
0x804844f : pushl $0x1
我们调用这个函数：
0x8048451 : call 0x8048440
如我们已经通过CALL调用解释的那样，我们PUSH指令addl $0xc,%esp的地址0x8048456到堆栈。函数RET调用后，我们加12或者十六进制中的0xc(因为我们推入3个参数到堆栈中，每一个分配了4个字节(整型))。接着我们离开main()函数，并且返回：
0x8048459 : leave
0x804845a : ret
好，在函数f()内部发生了什么呢？
(gdb)
disas f
Dump of assembler code for function f:
0x8048440 : pushl 雙
0x8048441 : movl %esp,雙
0x8048443 : subl $0x4,%esp
0x8048446 : leave
0x8048447 : ret
End of assembler dump.
(gdb)
开始两个指令都是一样的。它们是程序引入。接着我们看a：
0x8048443 : subl $0x4,%esp
从ESP减去了4个字节。这是为局部变量z分配空间。记得我们定义它为char z[4]？它是一个4字节的字符数组。最后，在末尾，函数返回：
0x8048446 : leave
0x8048447 : ret