CSAPP Attack Lab 緩衝區溢出完整攻略：從 Smoke 到 Nitroglycerin

CSAPP Attack Lab 緩衝區溢出完整攻略：從 Smoke 到 Nitroglycerin

經典 CSAPP Buffer Overflow Lab 實戰筆記，通過注入 Shellcode/ROP 鏈覆蓋返回位址，逐級突破 ASLR、Stack Canary、NX 等防護。

環境準備

# 關閉 ASLR (實驗程式似經特殊處理可不關)
sysctl -w kernel.randomize_va_space=0
# 編譯選項開啟可執行棧
gcc -z execstack -fno-stack-protector ...

Level 0：Smoke - 修改返回位址

• getbuf 棧框：buf 在 ebp-0x28，返回位址在 ebp+4，距離 44 Bytes。
• Payload：44 字節填充 + smoke 函數位址 (0x08048c18)。
• ./hex2raw < level0-smoke-hex.txt | ./bufbomb -u user

Level 1：Fizz - 帶參數呼叫

• fizz(int cookie) 需要參數等於 cookie。
• 棧佈局：填充 44B + fizz 位址 + 4B 偽返回位址 + 4B cookie 值。

Level 2：Bang - 注入 Shellcode 修改全域變數

• 需修改 global_value 為 cookie 後跳轉 bang。
• Shellcode (x86 AT&T)：

  push $0x08048c9d   # bang 位址入棧
  mov $0x3955ae84, %eax  # cookie
  mov %eax, 0x804d100    # global_value = cookie
  ret                    # 跳轉 bang

• 將 Shellcode 機器碼放入 buf 開頭，返回位址指向 buf。

Level 3：Dynamite - 恢復棧框返回 caller

• 要求 getbuf 返回 cookie 給 test，不可破壞 test 棧框。
• Shellcode 需：保存 ebp、設定返回值 eax=cookie、返回 test 後續指令 (0x08048dbe)。

Level 4：Nitroglycerin - ASLR 模擬 + NOP Sled

• -n 參數啟用 getbufn，ebp 隨機 (模擬環境變數)。
• buf 位址隨機 5 次，最大 0x556836c8。
• 技巧：NOP Sled (0x90) 填充 buf 前部，Shellcode 置後，返回位址指向 NOP 區最高位址。
• 計算：buf 到返回位址距離 0x20c，Shellcode 15B，填充 0x20c-15 個 NOP。
• ./hex2raw -n < level4-hex.txt | ./bufbomb -u user -n (需連續 5 次成功)。

核心知識點總結

資源連結

• 實驗材料：GitHub buffer-overflow 分支
• 官方 Lab 手冊：CSAPP Labs

1. 上一篇文章： 有限狀態機編程模式：原理、實現與應用場景
2. 下一篇文章： C 標準庫時間函數詳解：localtime、mktime、difftime 使用與陷阱

關於C語言

從 RTTI 機制深入理解 C++ 向下轉型與動態類型識別

什麼是 RTTI？ RTTI（Run-Time Type I

C# 使用 DirectX 實現視訊播放 (3)：加入參考、UI 設計與 InitializeComponent 完整程式碼

加入 DirectX 參考 專案右鍵「加入參考」→ .NET

C 語言函數參數入棧順序深度解析：為什麼是「從右向左」？

現象觀察：實測驗證 void func(int x, int

IT 教材出版亂象批判：劣幣驅逐良幣的市場現實

背景 文章轉載自《中國青年報》，揭露高職高專教材市場「山寨教