なぜ私のシェルコードが動作しないのですか（Linuxの場合）？

Question

私は以下の小さなシェルコードを書いた：

#include <stdlib.h> 

int main() 
{ 
    __asm__("jmp calloffset\n" 
     "poploffset: popl %%esi\n" 
     "movl $1,%%eax\n" 
     "movl $6,%%ebx\n" 
     "int $0x80\n" 
     "calloffset: call poploffset\n" 
     ".string \"/bin/bash\"\n":::"esi"); 

    exit(1); 
} 

シェルコードの仕事を、それが6 を返します実際には、上記のコードはうまく動作しますが、実際にメイン関数の戻り値6。

そしてその後、私はCプログラムにコードを埋め込む：

#include <stdlib.h> 
#include <unistd.h> 

char shellcode[]="\xeb\x0d\x5e\xb8\x01\x00\x00\x00\xbb\x06\x00\x00\x00\xcd\x80\xe8\xee\xff\xff\xff"; 

void func() 
{ 
    int * ret; 
    ret=(int *)&ret+0x08; 
    *ret=(int *)shellcode; 

} 

int main() 
{ 
    func(); 
    exit(0); 
} 

通常の状況下では、コードは6を返す必要があります。しかし、それは0のすべての時間を返します。

私のコードが間違っているとは思わない。私はあなたにそれを示します。

(gdb) print &ret 
$1 = (int **) 0xbffff2f4 

そして、私はメインで呼び出しの次の命令のアドレスを取得する：

まず、私は、GDBからヴァル・RETのアドレスを取得

(gdb) disass main 
Dump of assembler code for function main: 
    0x08048ccb <+0>: push %ebp 
    0x08048ccc <+1>: mov %esp,%ebp 
    0x08048cce <+3>: and $0xfffffff0,%esp 
    0x08048cd1 <+6>: sub $0x10,%esp 
    0x08048cd4 <+9>: call 0x8048cb0 <func> 
    0x08048cd9 <+14>: movl $0x0,(%esp) 
    0x08048ce0 <+21>: call 0x80495c0 <exit> 
End of assembler dump. 

もちろん、それは0x08048cd9です。

(gdb) x/16xw $esp 
0xbffff2e8: 0xbffff3bc 0x00000001 0x00000000 0x08049460 
0xbffff2f8: 0xbffff318 0x08048cd9 0x0804972f 0x080d6044 
0xbffff308: 0x08049797 0x00000000 0x08049460 0x080493c0 
0xbffff318: 0x00000000 0x08048e91 0x00000001 0xbffff3b4 

もちろん、アドレスが0xbffff2f8 + 0×04 = 0xbffff2fcです：

そしてその後、私は、スタック内の上記のアドレスを格納したアドレスを取得します。 そして、val retのアドレスは0xbffff2f4です。

したがって、ret=(int *)&ret+0x08は正しいアドレスを取得する必要があります。 *ret=(int *)shellcodeは、シェルコードのアドレスをスタックに挿入する必要があります。そして、プログラムはシェルコードを実行し、最後にプログラムが復帰すると6になります。

私は間違っていますか？

私は間違った場所を見つけるように見える：

(gdb) disass func 
Dump of assembler code for function func: 
    0x08048cb0 <+0>: push %ebp 
    0x08048cb1 <+1>: mov %esp,%ebp 
    0x08048cb3 <+3>: sub $0x28,%esp 
    0x08048cb6 <+6>: lea -0xc(%ebp),%eax 
    0x08048cb9 <+9>: add $0x20,%eax 
    0x08048cbc <+12>: mov %eax,-0xc(%ebp) 
    0x08048cbf <+15>: mov -0xc(%ebp),%eax 
    0x08048cc2 <+18>: mov $0x80d6028,%edx 
    0x08048cc7 <+23>: mov %edx,(%eax) 
    0x08048cc9 <+25>: movl $0x1,(%esp) 
    0x08048cd0 <+32>: call 0x8053380 <sleep> 
    0x08048cd5 <+37>: leave 
    0x08048cd6 <+38>: ret  
End of assembler dump. 

命令add $0x20,%eaxは奇妙です。これはどうしたらできますか？

Answer 1

命令add $0x20,%eaxが異常です。これはどうしたらできますか？このほかには、ret0x08 * sizeof(int)によってバイトを変更する - Cのポインタの数学がどのように動作するかだ

int * ret; 
ret=(int *)&ret+0x08; 

。それは0x20の由来です。しかし、Andy Ross氏の見解は正しかったです。コンパイラはスタックフレームを自由に配置することができます。つまり、コンパイラの設定が異なると、フレームレイアウトを変更することができます。

Answer 2

コンパイラは、必要なfunc（）のスタックフレームのどこにでも "ret"変数を自由に置くことができます。おそらく（私は逆アセンブリから数学を解くにはあまりにも怠惰です）あなたのオフセットは単に間違っています。 40バイトのフレームが設定されていることに注意してください。