栈溢出后 如何利用漏洞

攻击者把数据塞进栈缓冲区，栈溢直到它溢出，出后覆盖掉返回地址。何利这不是用漏什么高深魔法，本质上就是栈溢一场精心策划的“地址篡改”游戏。当函数执行完毕，出后CPU 会跳回那个被改写的何利地址——如果那里恰好是攻击者布置的 shellcode，控制权就易主了。用漏就这么直接，栈溢没有中间商。出后

拿一个真实案例开刀：某老牌 FTP 服务器，何利处理 USER 命令时用 strcpy 拷贝输入，用漏没做长度检查。栈溢攻击者发送 200 字节的出后用户名，缓冲区只有 128 字节。何利多出来的 72 字节里，前 4 字节精准地覆盖了返回地址。调试器里看得清清楚楚——EIP 寄存器像听话的狗，指向了攻击者指定的堆栈位置。那里放着一段 30 字节的 shellcode，功能是反弹 shell。整个过程不需要任何花哨技巧，纯粹的溢出、覆盖、跳转。

但现代系统没那么好骗。栈随机化让地址每次启动都不同，NX 位禁止栈上执行代码。于是攻击者得换思路。最经典的绕法叫 ROP——返回导向编程。不执行新代码，而是把栈上已有的指令片段（gadget）串起来。每个 gadget 结尾都是 ret 指令，攻击者通过控制返回地址链，让程序依次执行这些碎片。比如某 Linux 内核漏洞，攻击者用 7 个 gadget 完成了关闭 ASLR、修改内存权限、跳转到用户态 payload 的完整链条。每个 gadget 不过 2-3 条指令，像乐高积木一样拼出攻击逻辑。

实际操作里还有个恶心人的细节：你得知道栈地址。就算有 ASLR，某些低版本系统或特定服务会泄露栈指针。比如格式化字符串漏洞泄露 %p 值，或者错误信息里带出缓冲区地址。拿到地址后，攻击者把 shellcode 放在环境变量里，因为环境变量在栈顶，位置相对固定。然后覆盖返回地址指向那块区域——一次精准打击。

防御方也没闲着。Stack Canary 就是栈里放个随机值，函数返回前检查它是否被改动。但攻击者可以暴力猜（老版本 canary 只有 1 字节随机），或者通过信息泄露直接读出 canary 值。更狠的是 Intel CET 硬件防护，用 shadow stack 存一份合法的返回地址副本，篡改主栈时 CPU 直接报错。但部署率低，老系统照样裸奔。

说句实话，现在纯栈溢出漏洞少多了，编译器默认开 -fstack-protector，开发者也会用 strncpy。但遗留代码和嵌入式设备依然是重灾区。去年某路由器固件，UPnP 服务处理 SOAP 请求时用 sprintf 拼接 XML 标签，溢出后直接以 root 权限执行命令。攻击者连 shellcode 都不用写，直接调用 system("telnetd -l /bin/sh") 就完事。

所以，栈溢出利用的本质没变：找到未检查长度的拷贝点，精心构造溢出数据，让控制流跳到攻击者想要的地方。难点全在绕过现代防护机制——需要逆向工程、内存布局分析、gadget 搜索。这些技术说穿了都是细节战，没有捷径。但每次攻防博弈都像下棋，一步错就全盘崩。你问我怎么防？最简单粗暴的：别用 C 写网络服务，非要写就上内存安全语言，或者把编译器警告当回事。可惜现实里，大部分漏洞还是因为“图省事”三个字。