控制 EIP

您已经知道偏移量，因此可以将任意四个字节放入EIP。现在的问题是：应该放入哪个地址？

您希望 EIP 指向外壳代码。但不能直接硬编码栈地址；您需要一个可靠的跳转方式。

外壳代码所在的栈地址可能会在不同运行和不同系统之间发生变化。即使环境只有细微变化，也会使该地址移动。

因此，您应使用内存中已有的稳定指令，将执行过程重定向到 ESP 当前指向的位置。

如果 ESP 在崩溃时指向外壳代码，您可以将 EIP 设置为 JMP ESP 指令的地址。当 EIP 加载该地址后，CPU 会执行 jmp esp，并跳入外壳代码。

这种间接跳转使漏洞利用不受栈准确地址的影响，从而更加可靠。

您需要在已加载的模块中搜索操作码字节 FF E4，最好选择不启用 ASLR 的模块。模块的基址保持不变，因此该小工具很可靠。

mona.py 等工具可以自动找到合适的指令。

某些字节值会在输入完整到达缓冲区之前破坏输入。最典型的是空字节 0x00，它会终止 C 字符串。其他字符还包括 0x0a（换行）和 0x0d（回车）。

JMP ESP 地址中不能包含任何这些坏字符。

要找出哪些字节属于坏字符，请将 0x00-0xff 的所有字节发送到缓冲区，然后在调试器中检查内存。被篡改或缺失的字节就是坏字符。

您需要从返回地址和外壳代码中排除这些字节。

现在组装输入：先填充到偏移量，再按小端序放入 JMP ESP 地址。

如果 JMP ESP 位于 0x625011AF，写入的字节就要反转。

在调试器中于 JMP ESP 地址设置断点，然后运行漏洞利用。当 EIP 到达该地址并跳转到 ESP 所指位置时，就确认了重定向的可靠性。

此时 EIP 会指向外壳代码将要放置的位置。

返回地址之后的剩余缓冲区（ESP 所指向的位置）将存放外壳代码。如果空间紧张，您可能需要使用短跳转或重新定位。

在外壳代码之前加入一段NOP 滑道（由 0x90 无操作字节组成），可以增加容错空间，使跳转能够落在滑道中的任意位置。

现在完整的漏洞利用结构已经清晰了：

• 填充到偏移量。
• JMP ESP 地址（不含坏字符，使用小端序）。
• NOP 滑道。
• 外壳代码。

距离获得命令行 Shell 只差一步了。

JMP ESP 是经典的重定向方式，但并不是唯一选择。如果其他寄存器指向您的缓冲区，您可以使用 jmp eax、call esp 或 push esp; ret 小工具。

原理是相同的：找到一条稳定的指令，将控制权转移到外壳代码所在的位置。

请回忆 JMP ESP 为何优于硬编码的栈地址。

现在您已经能够控制执行流：

• 使用JMP ESP 小工具的地址覆盖 EIP，而不是使用不可靠的栈地址。
• 在不启用 ASLR 的模块中查找小工具，并避开 0x00 等坏字符。
• 使用小端序写入地址，并在外壳代码之前加入NOP 滑道。

接下来，您将生成外壳代码并获得命令行 Shell。