ret2libc1

科普小知识：

void h(a,b){ } int main(){ int a=0,b=0; h(a,b); }

一下全程为32位演示

正常栈

函数调用函数需要call 函数

push 返回地址，jmp eip

如果被人为修改后的栈

a

b

b

a

eip 被修改为某个函数的地址，比如system的地址

函数执行的是leave ret

相当于直接jmp eip，并没有push 返回地址

以main函数为例

main函数以为自己执行完了，不需要再返回main函数了

这时原本的栈就相当于

a

b

b system的形参

a 相当于eip

被新压入的旧的ebp ebp指向此处

下面开始做题：

开启了栈保护，没办法shellcode

shift+f12

有/bin/sh字符串

并没有被system调用

plt表中有system函数

局部变量和ebp的距离

编写代码