直接在 RET 寄存器中使用跳转

Question

我正在处理缓冲区溢出问题，其中输入字符串必须（显然）用我的输入字符串中的 shellcode 的地址覆盖 RET。

我研究过，发现像这样在运行时确定缓冲区的内存地址并不容易。

我还了解了相对跳跃。是否可以通过相对跳转到 shellcode 开始的堆栈（和我的字符串）的较早部分来覆盖 RET？不知道行不行。

基本上它看起来像这样： ./program 90909090909090/bin/sh/00RELATIVE_JUMP_HERE

显然所有这些都是机器代码，这只是为了说明我要完成的工作。

谢谢

Answer 1

在堆栈溢出中覆盖的不是 RET 指令，而是返回地址。所以你不会覆盖机器代码，而是一个指向机器代码的指针。确实有一些技术可以不断跳转到有趣的代码片段，谷歌搜索 ret-into-libc 和面向返回的编程。

类似地，一种著名的技术是“trampoline”技术，您可以让返回地址指向一个“JMP ESP”指令，该指令会跳回溢出的缓冲区。