Protostar Stack0 中的填充和对齐答案

【问题标题】：Padding and alignment in Protostar Stack0Protostar Stack0 中的填充和对齐
【发布时间】：2015-07-09 13:05:56
【问题描述】：

今天早上我在 protostar 上完成了 stack0 练习。该示例是使用gets 的简单堆栈溢出。我在 x86-64 上使用 gcc 编译了代码，并启用了堆栈保护器和 ASLR。

#include <stdlib.h>
#include <unistd.h>
#include <stdio.h>

int main(int argc, char **argv)
{
    volatile int modified;
    char buffer[64];

    modified = 0;
    gets(buffer);

    if(modified != 0) {
        printf("you have changed the 'modified' variable\n");
    } else {
        printf("Try again?\n");
    }
}

由于一个 int 是 4 个字节，并且在缓冲区之前被压入堆栈，64 个字节的 char，我认为我需要将缓冲区溢出 1 个字节才能更改 modified 的值。

但是，这不起作用。因此，我接下来认为编译器在 modified 和 buffer 之间插入了 4 个字节的填充，这样两者都从字边界开始（x86-64 的 8 个字节）。但是，这也不起作用。

最后，我在 GDB 中运行了可执行文件，发现事实上，GCC 在 modified 和缓冲区之间插入了 12 个字节的对齐：因此我必须将 77 个字节写入缓冲区以便在修改后溢出（第 77 个字节是第一个字节的修改）。

(gdb) p &modified
$3 = (volatile int *) 0x7fffffffdadc

(gdb) p &buffer[63]
$12 = 0x7fffffffdacf ""

因此，0x7fffffffdadc - 0x7fffffffdacf 是 13 个字节。

0000000000400504 <main>:
400504: 55                      push   %rbp
400505: 48 89 e5                mov    %rsp,%rbp
400508: 48 83 ec 60             sub    $0x60,%rsp
40050c: 89 7d ac                mov    %edi,-0x54(%rbp)
40050f: 48 89 75 a0             mov    %rsi,-0x60(%rbp)
400513: c7 45 fc 00 00 00 00    movl   $0x0,-0x4(%rbp)
40051a: 48 8d 45 b0             lea    -0x50(%rbp),%rax
40051e: 48 89 c7                mov    %rax,%rdi
400521: e8 ea fe ff ff          callq  400410 <gets@plt>

现在，查看上面的目标代码，我们可以看到 GCC 在堆栈上分配了 96 个字节 sub $0x60, %rsp 用于缓冲区和修改。

然后，它将目标索引和源索引从 %rbp 移动到地址 -0x54 和 -0x60。这样做的目的是什么，这些寄存器有什么作用？

接下来，我可以看到 modified 设置为 0 和 movl $0x0,-0x4(%rbp)，它距离基指针 4 个字节。因此缓冲区末尾和修改的第一个字节之间有 12 个字节。

因此，我的问题是：为什么 GCC 在修改和缓冲区之间插入 12 字节对齐，以使修改后的 16 字节对齐，而不是仅对齐 8 字节，这将与 x86-64 上的字边界对齐？

【问题讨论】：

标签： c memory-alignment exploit

【解决方案1】：

堆栈对齐受平台 ABI 控制，而不仅仅是特定类型对齐。在您的情况下，堆栈对齐是 16 个字节，这对于 x86_64 平台很常见。

您可以搜索 x86_16 ABI 问题，例如：x86_64 align stack and recover without saving registers

【讨论】：