win10+vs2015缓冲区溢出实验
首先参考： http://blog.csdn.net/jiangwei0512/article/details/50856834 搭建vs2015的汇编环境
然后关闭aslr （附上一个aslr 的介绍：http://blog.csdn.net/better0332/article/details/5262990）
首先右键项目-》属性-》配置属性-》链接器-》高级
把随机基址选否，固定基址选是，数据执行保护选否
然后新建一个asm文件，代码：
.386
.model flat,stdcall
option casemap:none
include windows.inc
include user32.inc
includelib user32.lib
include kernel32.inc
includelib kernel32.lib
.data
szText db 'hellowordpe',0
szText2 db 'Touch Me!',0
szShellCode dd 0ffffffh,0
.code
_memCopy proc _lpSrc
local @buf[4]:byte
pushad
mov al,1
mov esi,_lpSrc
lea edi,@buf
mov al,byte ptr[esi]
.while al!=0
mov byte ptr [edi],al
mov al,byte ptr [esi]
inc esi
inc edi
.endw
popad
ret
_memCopy endp
start:
invoke _memCopy,addr szShellCode
invoke MessageBox,NULL,offset szText,NULL,MB_OK
invoke MessageBox,NULL,offset szText2,NULL,MB_OK
invoke ExitProcess,NULL
end start
这样运行之后会弹出依次弹出hellowordpe和Touch Me! 这两个对话框
但是当szShellCode加长，改成szShellCode dd 0ffffffffh,0ddddddddh,0ddddddddh,0的话就会崩溃
用od单步调试查看栈的情况
发现：eip变成了DDDDDDDD
重新来，调试到崩溃前的状态
发现szShellCode输入的数据覆盖到了函数的返回地址
可以看到右下角那个框显示就是栈的情况，这里可以发现，函数的返回地址本来在0019ff7c这个位置，但是这里被szShellCode过量的数据所覆盖，所以eip会执行DDDDDDDD位置的代码，但是DDDDDDDD没有合法代码可被执行，所以，程序就崩溃了
假如szShellCode是可以被用户随意控制的话，就可以控制eip的指向来执行任意代码了
我下面的小实验的目的就是通过改变szShellCode来跳过第一个对话框的来执行第二个对话框
首先来确定第二个对话框的进入地址：
可以看到的是在00402068
下面我们的目标是将通过溢出将eip的值指向00402068
我们可以把szShellCode改成
szShellCode dd 0ffffffffh,68345678h,04020h,0
仔细观察数据进入栈的次序就可以看懂我改成这样的原理了
然后重新生成一下，运行一下，发现可以只弹出Touch Me这个对话框了
载入到od中查看栈的情况
可以看到右下角那个栈的框的0019ff7c这个地址被改成00402068，正好是Touch Me对话框函数的入口
可以看到eip执行到了00402068这个位置了
继续走，最后发现只弹出了Touch Me这个对话框，说明我们成功了