栈缓冲区溢出

内存数据分布图

• Text：包含程序代码
• Data：包含全局变量，静态变量，该段的大小在编译时计算
• 堆：存储动态变量，new动作会在堆上分配内存
• 栈：保存函数参数，局部变量，函数调用时栈空间消耗就会变大。

堆栈内存是运行时实时分配的

CPU通用寄存器

• EIP：指令指针
• ESP：栈指针（栈顶）
• EBP：基指针（栈底）
• ESI：源变址寄存器
• EDI：目标变址寄存器
• EAX：累加寄存器
• EBX：基地址寄存器
• ECX：计数寄存器
• EDX：数据寄存器

与栈溢出有关的寄存器主要是ESP，EBP，EIP。

ESP和EBP都是用于控制当前执行函数栈帧的寄存器。

EBP指向栈帧最高内存地址，ESP指向栈帧最低内存地址。

EIP保存要执行的下一条命令的内存地址。EIP是只读的。

栈帧：栈帧中存放着函数的参数，局部变量，及恢复前一个栈帧所需要的数据。

一旦函数执行完毕，整个栈帧就会被复原，ESP和EBP将重新指向调用方函数的栈帧。

**过程：**比如我们正在运行一个C程序，在程序开始时调用main主函数，并为其分配栈帧。主函数调用另一个函数myfunction，在为myfunction制备栈帧并移交执行权之前，主函数会记下myfunction结束以后的返回地址，并且把返回地址保存在帧上。myfunction执行完毕之后，栈帧就会被复原，EIP寄存器将加载栈所存储的返回地址，然后继续执行main函数的命令。

**原理：**当栈帧中的局部变量占用内存空间越来越大时，栈帧达到最大空间，局部变量的值可能会覆盖栈帧的其余部分，甚至突破栈帧到达更高的内存地址。当局部变量占用内存足够长，就覆盖了返回地址。EIP执行到返回地址时，就会出现找不到地址报错。如果我们能够使该栈帧溢出到返回地址，并且能够修改返回地址，将其替换为另一个程序在内存中的起始地址，我们就能能改变程序原本的正常执行流向，去执行由我们所控制的程序。