逆向工程实战：从crack实验到栈溢出攻击的完整解决方案

1次阅读

没有评论

共计 1497 个字符，预计需要花费 4 分钟才能阅读完成。

逆向工程是安全研究和软件开发中不可或缺的技能，但初学者常面临以下挑战：

工具链复杂：LordPE、OllyDbg、IDA 等工具学习曲线陡峭
栈帧理解困难：函数调用时的内存变化难以直观把握
漏洞利用门槛高：代码植入需要精确控制内存布局
稳定性问题：修改后的程序容易出现崩溃

打开目标 PE 文件
查看 PE 头部信息（建议重点关注.text 段基址）
导出函数表分析导入 / 导出关系
使用重建功能修复被修改的 PE 头

关键断点设置：
bp MessageBoxA 拦截弹窗调用
bp 401000 在代码段设置执行断点
内存窗口使用技巧：
右键选择 ”Follow in Dump” 跟踪寄存器指向的内存
使用 Ctrl+ G 快速跳转到指定地址

加载文件时选择 ”Manual load” 模式
使用 F5 生成伪代码（注意识别编译器优化特征）
重命名关键变量（按 N 键）提高可读性
创建结构体（Alt+Q）还原复杂数据结构

以下面示例程序为例：

int add(int a, int b) {return a + b;}

int main() {int result = add(3, 5);
    return 0;
}

在 OllyDbg 中观察到的栈帧变化：

调用前准备：
push 5 ; 第二个参数
push 3 ; 第一个参数
call add ; 返回地址入栈
函数入口：
push ebp ; 保存原 EBP
mov ebp, esp ; 建立新栈帧
sub esp, 0x40 ; 分配局部变量空间
函数返回：
mov esp, ebp ; 恢复 ESP
pop ebp ; 恢复原 EBP
retn 8 ; 平衡栈并返回

定位缓冲区溢出点（如 strcpy 等危险函数）
计算 EIP 覆盖偏移量（pattern_create 工具）
构造 payload = padding + new_eip + shellcode

以教材 2.4 节为例，关键步骤：

使用 OllyDbg 找到 MessageBox 调用点
定位字符串在内存中的地址
编写汇编代码修改字符串引用：

mov eax, 0x00403000 ; 新字符串地址
push eax            ; lpText 参数

使用二进制补丁工具写入修改

检查栈平衡：确保 retn 指令正确清理参数
修复 PE 校验和：使用 LordPE 的 ”Recalc PE” 功能
处理 DEP 保护：在编译时添加 /NXCOMPAT:NO 选项

偏移计算错误：使用 !mona findmsp 验证偏移量
坏字符问题：00/0A/0D 等特殊字符需避免
地址随机化：测试时关闭 ASLR（EditBin /DYNAMICBASE:NO）
编码问题：宽字符字符串需要双字节处理

// 栈溢出漏洞示例
#include <string.h>

void vuln_func(char *input) {char buffer[64];
    strcpy(buffer, input); // 危险操作
}

int main() {char payload[100];
    memset(payload, 0x41, 100); // 填充 A
    *(void**)(payload+72) = (void*)0x00401000; // 覆盖 EIP
    vuln_func(payload);
    return 0;
}