x86,32位中为什么要做栈平衡。

最新推荐文章于 2023-04-17 12:32:55 发布

原创最新推荐文章于 2023-04-17 12:32:55 发布 · 1k 阅读

4 ·

CC 4.0 BY-SA版权

文章标签：

#pwn

pwn 专栏收录该内容

9 篇文章

订阅专栏

本文探讨了32位系统中通过栈进行参数传递的过程，并详细分析了正常函数调用与栈溢出调用的区别。重点介绍了如何在栈溢出的情况下实现正确的栈平衡，以确保程序的稳定运行。

在32位中是通过栈进行参数传递，正常函数的调用，栈中要先压入返回地址，再压入ebp。但通过溢出执行相关函数时，只压入ebp，并不压入返回地址，因此函数正常返回时，先后执行，leave，ret，就会多出栈一次，因此，需要做栈平衡

	正常调用	溢出调用

leave（mov esp,ebp;pop ebp）	ebp	ebp
ret(pop eip)	返回地址	栈平衡
esp

通过代码调试代码如下：

#include <stdio.h>
int add(int a,int b,int c)
{
        int sum;
        sum=a+b+c;
}
void main()
{
// char t[32];
// scanf("%s",t);
//printf("%s\n",t);
int a=1,b=2,c=3;
int sum;
sum=add(1,2,3);
printf("sum=%d\n",sum);
}

gcc编译后，通过gdb调试

 EBP  0xffffd5bc —▸ 0xffffd5e8 ◂— 0x0
 ESP  0xffffd5bc —▸ 0xffffd5e8 ◂— 0x0
 EIP  0x804840e (add+3) ◂— sub    esp, 0x10
─────────────────────────────────────────────────────────────────[ DISASM ]──────────────────────────────────────────────────────────────────
   0x8048421 <add+22>    nop    
   0x8048422 <add+23>    leave  
   0x8048423 <add+24>    ret    
    ↓
   0x804840b <add>       push   ebp
   0x804840c <add+1>     mov    ebp, esp
 ► 0x804840e <add+3>     sub    esp, 0x10
   0x8048411 <add+6>     mov    edx, dword ptr [ebp + 8]
   0x8048414 <add+9>     mov    eax, dword ptr [ebp + 0xc]
   0x8048417 <add+12>    add    edx, eax
   0x8048419 <add+14>    mov    eax, dword ptr [ebp + 0x10]
   0x804841c <add+17>    add    eax, edx
──────────────────────────────────────────────────────────────────[ STACK ]──────────────────────────────────────────────────────────────────
00:0000│ ebp esp  0xffffd5bc —▸ 0xffffd5e8 ◂— 0x0
01:0004│          0xffffd5c0 —▸ 0x8048455 (main+49) ◂— add    esp, 0xc
02:0008│          0xffffd5c4 ◂— 0x1
03:000c│          0xffffd5c8 ◂— 0x2
04:0010│          0xffffd5cc ◂— 0x3
05:0014│          0xffffd5d0 ◂— 0x1
06:0018│          0xffffd5d4 ◂— 0x2
07:001c│          0xffffd5d8 ◂— 0x3

进入add函数后，如上所示，add函数的地址为0x804840b，在栈中压入了，返回地址与ebp

00:0000│ ebp esp  0xffffd5bc —▸ 0xffffd5e8 ◂— 0x0
01:0004│          0xffffd5c0 —▸ 0x8048455 (main+49) ◂— add    esp, 0xc

修改栈顶为“aaaa”，返回地址为add函数的地址，在此次add函数结束后，再次调用add函数，如下所示：

00:0000│ ebp esp  0xffffd5bc —▸ 0x804b008 ◂— 'aaaa'
01:0004│          0xffffd5c0 —▸ 0x804840b (add) ◂— push   ebp
02:0008│          0xffffd5c4 ◂— 0x1
03:000c│          0xffffd5c8 ◂— 0x2
04:0010│          0xffffd5cc ◂— 0x3
05:0014│          0xffffd5d0 ◂— 0x1
06:0018│          0xffffd5d4 ◂— 0x2
07:001c│          0xffffd5d8 ◂— 0x3

等再次进入add函数如下所示，没有压入返回地址

EBP  0x804b008 ◂— 'aaaa'
 ESP  0xffffd5c4 ◂— 0x1
 EIP  0x804840b (add) ◂— push   ebp
─────────────────────────────────────────────────────────────────[ DISASM ]──────────────────────────────────────────────────────────────────
   0x804841c <add+17>    add    eax, edx
   0x804841e <add+19>    mov    dword ptr [ebp - 4], eax
   0x8048421 <add+22>    nop    
   0x8048422 <add+23>    leave  
   0x8048423 <add+24>    ret    
    ↓
 ► 0x804840b <add>       push   ebp
   0x804840c <add+1>     mov    ebp, esp
   0x804840e <add+3>     sub    esp, 0x10
   0x8048411 <add+6>     mov    edx, dword ptr [ebp + 8]
   0x8048414 <add+9>     mov    eax, dword ptr [ebp + 0xc]
   0x8048417 <add+12>    add    edx, eax
──────────────────────────────────────────────────────────────────[ STACK ]──────────────────────────────────────────────────────────────────
00:0000│ esp  0xffffd5c4 ◂— 0x1
01:0004│      0xffffd5c8 ◂— 0x2
02:0008│      0xffffd5cc ◂— 0x3
03:000c│      0xffffd5d0 ◂— 0x1
04:0010│      0xffffd5d4 ◂— 0x2
05:0014│      0xffffd5d8 ◂— 0x3
06:0018│      0xffffd5dc —▸ 0x80484a1 (__libc_csu_init+33) ◂— lea    eax, [ebx - 0xf8]
07:001c│      0xffffd5e0 —▸ 0xf7fb43dc (__exit_funcs) —▸ 0xf7fb51e0 (initial) ◂— 0x0

继续执行，压入ebp

EBP  0xffffd5c0 —▸ 0x804b008 ◂— 'aaaa'
 ESP  0xffffd5c0 —▸ 0x804b008 ◂— 'aaaa'
 EIP  0x804840e (add+3) ◂— sub    esp, 0x10
─────────────────────────────────────────────────────────────────[ DISASM ]──────────────────────────────────────────────────────────────────
   0x8048421 <add+22>    nop    
   0x8048422 <add+23>    leave  
   0x8048423 <add+24>    ret    
    ↓
   0x804840b <add>       push   ebp
   0x804840c <add+1>     mov    ebp, esp
 ► 0x804840e <add+3>     sub    esp, 0x10
   0x8048411 <add+6>     mov    edx, dword ptr [ebp + 8]
   0x8048414 <add+9>     mov    eax, dword ptr [ebp + 0xc]
   0x8048417 <add+12>    add    edx, eax
   0x8048419 <add+14>    mov    eax, dword ptr [ebp + 0x10]
   0x804841c <add+17>    add    eax, edx
──────────────────────────────────────────────────────────────────[ STACK ]──────────────────────────────────────────────────────────────────
00:0000│ ebp esp  0xffffd5c0 —▸ 0x804b008 ◂— 'aaaa'
stack
01:0004│          0xffffd5c4 ◂— 0x1
02:0008│          0xffffd5c8 ◂— 0x2
03:000c│          0xffffd5cc ◂— 0x3
04:0010│          0xffffd5d0 ◂— 0x1
05:0014│          0xffffd5d4 ◂— 0x2
06:0018│          0xffffd5d8 ◂— 0x3
07:001c│          0xffffd5dc —▸ 0x80484a1 (__libc_csu_init+33) ◂— lea    eax, [ebx - 0xf8]