void vulnerable() {
char buffer[128];
printf("Enter some text: ");
gets(buffer); // This is where the vulnerability lies
printf("You entered: %s\n", buffer);
}

寻找栈溢出偏移量

寻找栈溢出的最常见方法是输入非常大的 A（例如 python3 -c 'print("A"*1000)'），并期待出现 Segmentation Fault，这表明 尝试访问了地址 0x41414141。

此外，一旦发现存在栈溢出漏洞，您需要找到偏移量，直到可以 覆盖返回地址，通常使用 De Bruijn 序列。对于给定大小为 k 的字母表和长度为 n 的子序列，这是一个 循环序列，其中每个可能的长度为 n 的子序列恰好出现一次，作为一个连续的子序列。

这样，您就不需要手动找出控制 EIP 所需的偏移量，可以使用这些序列作为填充，然后找到覆盖它的字节的偏移量。

可以使用 pwntools 来实现这一点：

from pwn import *

# Generate a De Bruijn sequence of length 1000 with an alphabet size of 256 (byte values)
pattern = cyclic(1000)

# This is an example value that you'd have found in the EIP/IP register upon crash
eip_value = p32(0x6161616c)
offset = cyclic_find(eip_value)  # Finds the offset of the sequence in the De Bruijn pattern
print(f"The offset is: {offset}")

或 GEF：

#Patterns
pattern create 200 #Generate length 200 pattern
pattern search "avaaawaa" #Search for the offset of that substring
pattern search $rsp #Search the offset given the content of $rsp

利用栈溢出

在溢出期间（假设溢出大小足够大），您将能够覆盖栈内局部变量的值，直到达到保存的EBP/RBP 和 EIP/RIP（甚至更多）。
滥用这种类型漏洞的最常见方法是修改返回地址，这样当函数结束时，控制流将被重定向到用户在此指针中指定的地方。

然而，在其他场景中，仅仅覆盖栈中某些变量的值可能就足以进行利用（例如在简单的 CTF 挑战中）。

Ret2win

在这种类型的 CTF 挑战中，二进制文件中有一个函数，从未被调用，而且您需要调用它才能获胜。对于这些挑战，您只需找到覆盖返回地址的偏移量并找到要调用的函数的地址（通常ASLR会被禁用），这样当易受攻击的函数返回时，隐藏的函数将被调用：

{{#ref}} ret2win/ {{#endref}}

栈 Shellcode

在这种情况下，攻击者可以在栈中放置一个 shellcode，并利用受控的 EIP/RIP 跳转到 shellcode 并执行任意代码：

{{#ref}} stack-shellcode/ {{#endref}}

ROP & Ret2... 技术

该技术是绕过前一种技术主要保护的基本框架：不可执行栈 (NX)。它允许执行其他几种技术（ret2lib、ret2syscall...），通过滥用二进制中的现有指令来最终执行任意命令：

{{#ref}} ../rop-return-oriented-programing/ {{#endref}}

堆溢出

溢出不总是在栈中，它也可能发生在堆中，例如：

{{#ref}} ../libc-heap/heap-overflow.md {{#endref}}

保护类型

有几种保护措施试图防止漏洞的利用，请查看它们：

{{#ref}} ../common-binary-protections-and-bypasses/ {{#endref}}

现实世界示例：CVE-2025-40596 (SonicWall SMA100)

一个很好的示例，说明**sscanf永远不应该被信任来解析不可信输入**，出现在2025年SonicWall的SMA100 SSL-VPN设备中。
位于/usr/src/EasyAccess/bin/httpd中的易受攻击例程试图从任何以/__api__/开头的URI中提取版本和端点：

char version[3];
char endpoint[0x800] = {0};
/* simplified proto-type */
sscanf(uri, "%*[^/]/%2s/%s", version, endpoint);

第一个转换 (%2s) 安全地将两个字节存储到 version 中（例如，"v1"）。
第二个转换 (%s) 没有长度说明符，因此 sscanf 将继续复制 直到第一个 NUL 字节。
因为 endpoint 位于栈上并且长度为 0x800 字节，提供一个超过 0x800 字节的路径会破坏缓冲区后面的所有内容 ‑ 包括 栈金丝雀 和 保存的返回地址。

一个单行的概念证明足以在 身份验证之前 触发崩溃：

import requests, warnings
warnings.filterwarnings('ignore')
url = "https://TARGET/__api__/v1/" + "A"*3000
requests.get(url, verify=False)

即使栈保护器会中止进程，攻击者仍然可以获得一个拒绝服务原语（并且，通过额外的信息泄露，可能实现代码执行）。教训很简单：

始终提供最大字段宽度（例如%511s）。
优先选择更安全的替代方案，如snprintf/strncpy_s。

参考

watchTowr Labs – Stack Overflows, Heap Overflows and Existential Dread (SonicWall SMA100)

README.md Unescape Escape

Stack Overflow

什么是栈溢出