修改邻接变量的方法对代码环境限制比较多，更通用、更强大的方法是修改 EBP、返回地址等状态值。
为了方便调试，修改之前的代码如下：
#include<stdio.h>
#include<stdlib.h>
#include<string.h> #define PASSWORD "1234567" int verify_password(char *password)
{
int authenticated=0x03050709;
char buffer[]; // add local buf to be overflowed
authenticated=strcmp(password,PASSWORD);
strcpy(buffer, password); // overflow here
return authenticated;
} int main()
{
int valid_flag=;
char password[];
if(!freopen("password.txt","r",stdin)) // 非打印字符不便于从console输入，故 redirect stdin
//FILE *fp;
//if(!(fp=fopen("password.txt","rw+")))
{
printf("file open error!\n");
exit();
}
scanf("%s",password);
//fscanf(fp,"%s",password);
printf("password input: %s\n",password);
valid_flag=verify_password(password);
if(valid_flag){
printf("Incorrect password!\n\n");
}
else
{
printf("Congratulation! You have passed the verification!\n\n");
}
//fclose(fp);
return ;
}
在 password.txt 中存储内容为 abcdefg 时，OD 调试 exp_me.exe，执行完第 12 行 strcpy 后的栈帧如下图所示：
如上图，此时栈帧中 authenticated 的值（0x0012FAE8）为 1，表示验证未通过。EBP : 0x0012FAEC，前栈帧 EBP : 0x0012FF48，返回地址 : 0x0040ECD8。
0040ECCC |. 8D95 FCFBFFFF LEA EDX,DWORD PTR SS:[EBP-]
0040ECD2 |. PUSH EDX
0040ECD3 |. E8 2D23FFFF CALL exp_me.
0040ECD8 |. 83C4 ADD ESP,
0040ECDB |. FC MOV DWORD PTR SS:[EBP-],EAX
0040ECDE |. 837D FC CMP DWORD PTR SS:[EBP-],
0040ECE2 |. 0F JE SHORT exp_me.0040ECF3
0040ECE4 |. AC404200 PUSH OFFSET exp_me.??_C@_0BG@GFGB@Incorr>; /format = "Incorrect password! "
0040ECE9 |. E8 F225FFFF CALL exp_me.printf ; \printf
0040ECEE |. 83C4 04 ADD ESP,4
0040ECF1 |. EB 0D JMP SHORT exp_me.0040ED00
0040ECF3 |> 68 6C404200 PUSH OFFSET exp_me.??_C@_0DD@FPBB@Congra>; /format = "Congratulation! You have passed the verification! "
0040ECF8 |. E8 E325FFFF CALL exp_me.printf ; \printf
0040ECFD |. 83C4 04 ADD ESP,4
0040ED00 |> 33C0 XOR EAX,EAX
0040ED02 |. 5F POP EDI
0040ED03 |. 5E POP ESI
从上面的反汇编代码可以看到，0x0040ECD8 处的代码对应源码第 30 行后恢复栈帧处，如果能将此时的返回地址覆盖为 0x0040ECF3，就能跳过错误验证流程，直接执行源码中第 36 行的 else 分支，进入验证正确后的执行流程。
用 UltraEdit 将 password.txt 修改为如下内容：
注意，CPU 为 Little_Endian 模式，最后的四字节返回地址（0x0040ECF3）要反写成 E3 EC 40 00
在返回地址之前的前栈帧地址 0x0012FF48 不能写为 48 FF 12 00，因为这里的 00 会被 scanf 当作截断符中止读取，导致内容读取不够，覆盖返回地址失败（只能覆盖到 EBP）。
修改 password.txt 后，OD 调试结果如下：
紧接着出现如下错误，因为 EBP 覆盖成了错误的 0xAA12FF48 而不是 0x0012FF48，导致栈帧不平衡。
这个问题留着以后再学习吧，今天到此了，睡觉去（2014-3-31 23:31:55）。