栈迁移技术详解与实战教学<\/h1>

一、基本概念<\/h2>

1.1 栈迁移定义<\/h3>

栈迁移（Stack Pivoting）是一种通过修改rbp\/rsp寄存器值，将栈帧转移到其他内存区域的技术手段。主要应用于以下场景：<\/p>

与输入函数搭配使用，实现任意地址写<\/li>

变相增加溢出长度，突破栈空间限制<\/li> <\/ul>

1.2 核心指令<\/h3>

leave;ret<\/strong> 指令组合是栈迁移的关键：<\/p>

leave<\/code> 等价于 mov rsp, rbp<\/code> + pop rbp<\/code><\/li>
ret<\/code> 等价于 pop rip<\/code><\/li> <\/ul> 1.3 迁移原理<\/h3> 通过精心构造的payload控制rbp和返回地址，利用leave指令的特性实现栈指针的重新定位。<\/p> 二、技术实现方式<\/h2> 2.1 覆盖rbp实现任意地址写<\/h3> 应用场景<\/strong>：需要修改特定内存值的情况<\/p> 技术要点<\/strong>：<\/p> 通过溢出覆盖rbp值为目标地址<\/li> 利用后续的leave指令将rsp指向目标区域<\/li> 实现对该内存区域的读写控制<\/li> <\/ol> 实例分析<\/strong>（攻防世界format2）：<\/p> 输入限制：base64解码后不超过12字节（原始输入≤16字节）<\/li> 实际需求：覆盖需要30字节<\/li> 解决方案：通过栈迁移扩展可利用空间<\/li> <\/ul> 2.2 覆盖返回地址增加溢出长度<\/h3> 技术实现<\/strong>：<\/p> 将返回地址覆盖为leave_ret gadget地址<\/li> 第一次leave_ret执行后，rsp指向新的栈位置<\/li> 第二次ret执行时，从新位置继续执行<\/li> <\/ol> 三、栈地址泄露技术<\/h2> 3.1 直接泄露栈地址<\/h3> 方法<\/strong>：<\/p> 利用格式化字符串漏洞<\/li> 通过栈上已有的地址信息<\/li> 使用程序本身的输出功能<\/li> <\/ul> 3.2 无泄露情况下的迁移<\/h3> 前提条件<\/strong>：未开启PIE保护目标区域<\/strong>：bss段等固定地址区域实现步骤<\/strong>：<\/p> 将栈迁移到bss段<\/li> 通过第二次read写入payload<\/li> 执行布置在bss段的shellcode<\/li> <\/ol> 四、三种典型迁移场景<\/h2> 4.1 迁移到栈空间<\/h3> 必要条件<\/strong>：需要泄露栈地址<\/p> 实例1：NewStarCTF2023-stack_migration<\/strong><\/p> # 关键步骤：<\/span> <\/span><\/span># 1. 泄露栈地址<\/span> <\/span><\/span># 2. 计算迁移目标地址<\/span> <\/span><\/span># 3. 构造ROP链<\/span> <\/span><\/span># 4. 执行栈迁移<\/span> <\/span><\/span><\/code><\/pre>实例2：ciscn_2019_es_2（32位程序）<\/strong><\/p> 利用两次读入机会<\/li> 第一次输入泄露ebp地址<\/li> 推算参数s在栈上的地址<\/li> 第二次输入写入system调用<\/li> <\/ul> 4.2 迁移到bss段<\/h3> 优势<\/strong>：空间较大，地址固定<\/p> 实例1：HITCON-Training-master lab6-migration<\/strong><\/p> 溢出空间有限（0x18字节）<\/li> 需要迁移到bss段进行后续操作<\/li> 注意避免null字节截断问题<\/li> <\/ul> 实例2：2024羊城杯-pstack<\/strong><\/p> # 关键技术点：<\/span> <\/span><\/span>bss =<\/span> elf.<\/span>bss() +<\/span> 0x500<\/span> # 避免覆盖重要数据<\/span> <\/span><\/span>payload =<\/span> payload.<\/span>ljust(0x30<\/span>, b<\/span>'a'<\/span>) # 填充到指定长度<\/span> <\/span><\/span><\/code><\/pre>4.3 迁移到随机地址<\/h3> 特点<\/strong>：概率性利用，成功率依赖随机性<\/p> 实例：2024HGAMEweek1-ezfmt<\/strong><\/p> 利用格式化字符串漏洞修改地址<\/li> 通过程序自带的两次leave_ret实现迁移<\/li> 在栈上大量布置目标地址提高成功率<\/li> <\/ul> 五、关键技术细节<\/h2> 5.1 栈对齐问题<\/h3> x64架构要求<\/strong>：栈指针需要16字节对齐解决方案<\/strong>：在payload中适当添加ret指令进行栈调整<\/p> 5.2 参数传递<\/h3> x64调用约定<\/strong>：前六个参数通过寄存器传递常用gadget<\/strong>：<\/p> pop rdi; ret<\/code>：传递第一个参数<\/li> pop rsi; pop r15; ret<\/code>：传递第二、三个参数<\/li> <\/ul> 5.3 避免截断问题<\/h3> 注意事项<\/strong>：<\/p> GOT表地址可能包含null字节<\/li> 需要选择合适的函数进行泄露<\/li> 使用setvbuf等函数替代puts避免截断<\/li> <\/ul> 六、实战技巧总结<\/h2> 6.1 通用利用框架<\/h3> 信息收集<\/strong>：检查保护机制，寻找可用gadget<\/li> 地址泄露<\/strong>：获取libc、栈、heap等关键地址<\/li> 空间扩展<\/strong>：通过栈迁移获得足够空间<\/li> payload布置<\/strong>：在目标区域构造利用链<\/li> 触发执行<\/strong>：通过迁移跳转到目标代码<\/li> <\/ol> 6.2 调试技巧<\/h3> 使用gdb动态调试观察栈变化<\/li> 在关键点下断点检查寄存器状态<\/li> 验证地址计算是否正确<\/li> <\/ul> 6.3 异常处理<\/h3> 栈迁移失败时的错误分析<\/li> 地址随机化下的应对策略<\/li> 保护机制绕过技巧<\/li> <\/ul> 七、防御措施<\/h2> 7.1 编译时防护<\/h3> 开启栈保护（Canary）<\/li> 地址随机化（ASLR\/PIE）<\/li> 栈不可执行（NX）<\/li> <\/ul> 7.2 代码审计要点<\/h3> 检查输入长度限制<\/li> 验证缓冲区边界<\/li> 避免危险的函数使用<\/li> <\/ul> 本教学文档涵盖了栈迁移技术的核心概念、实现方法和实战应用，为CTF竞赛和二进制安全研究提供了完整的技术参考。<\/p>

栈迁移技术详解与实战教学<\/h1>

一、基本概念<\/h2>

1.3 迁移原理<\/h3> 通过精心构造的payload控制rbp和返回地址，利用leave指令的特性实现栈指针的重新定位。<\/p>

二、技术实现方式<\/h2>

三、栈地址泄露技术<\/h2>

四、三种典型迁移场景<\/h2>

五、关键技术细节<\/h2>

5.1 栈对齐问题<\/h3> x64架构要求<\/strong>：栈指针需要16字节对齐 解决方案<\/strong>：在payload中适当添加ret指令进行栈调整<\/p>

六、实战技巧总结<\/h2>

七、防御措施<\/h2>

7.2 代码审计要点<\/h3> 检查输入长度限制<\/li> 验证缓冲区边界<\/li> 避免危险的函数使用<\/li> <\/ul> 本教学文档涵盖了栈迁移技术的核心概念、实现方法和实战应用，为CTF竞赛和二进制安全研究提供了完整的技术参考。<\/p>

1.3 迁移原理<\/h3>
通过精心构造的payload控制rbp和返回地址，利用leave指令的特性实现栈指针的重新定位。<\/p>

5.1 栈对齐问题<\/h3>
x64架构要求<\/strong>：栈指针需要16字节对齐
解决方案<\/strong>：在payload中适当添加ret指令进行栈调整<\/p>

7.2 代码审计要点<\/h3>

检查输入长度限制<\/li>
验证缓冲区边界<\/li>
避免危险的函数使用<\/li> <\/ul>
本教学文档涵盖了栈迁移技术的核心概念、实现方法和实战应用，为CTF竞赛和二进制安全研究提供了完整的技术参考。<\/p>