技能介绍

要解决的问题

NX 开启后栈不可执行，直接跳转到 shellcode 的老路走不通了；ASLR 让 libc 基址每次运行都变化，PIE 让二进制自身也随机化。现代漏洞利用的核心问题是：在寄存器、栈指针、可用 gadget 都受限的条件下，用已有代码片段拼出可预测的执行流，最终拿到任意地址执行。

技能如何工作

这套 playbook 按攻击链组织，每一层对应一个实际障碍：

栈布局基础：明确 32/64 位在返回地址宽度、canary 大小、参数传递方式上的差异，以及 64 位下 system() 等调用要求 RSP % 16 == 0 的对齐约束，对齐不对时插入一个裸 ret gadget 修正。
ret2libc：通过 puts@GOT、write 系统调用或格式化字符串泄露 libc 基址，再拼入 system("/bin/sh")；或直接使用 one_gadget，但必须先核对寄存器与栈状态是否满足其约束条件。
ROP 链构造：覆盖 ROPgadget、ropper、pwntools ROP、xrop 四种工具在检索方式与适用场景上的差异，给出 pop rdi; ret、pop rsi; pop r15; ret 等关键 gadget 模式及其用途。
ret2csu：利用几乎所有动态链接 ELF 都存在的 __libc_csu_init 实现三参数调用，注意 r12 必须指向目标函数的指针（如 GOT 项），rbx=0、rbp=1 用于跳过循环。
ret2dlresolve：在没有 libc 泄露时伪造 Elf_Rel/Elf_Sym 结构，让 _dl_runtime_resolve 解析出任意函数；64 位下对齐与版本检查更严格。
SROP 与栈迁移：通过 sigreturn 从伪造的 Signal Frame 一次性恢复全部寄存器，或用 leave; ret、xchg rsp, rax 把栈指针移到可控缓冲区。
canary 绕过：按场景选择爆破、格式化字符串泄露、TLS 覆盖（fs:[0x28]）或信息泄露。

适用边界

ret2dlresolve 依赖在可写段伪造动态链接结构，静态二进制或完全没有可用泄露点时不适用；SROP 需要 glibc 的 sigreturn 支持。若漏洞位于堆而非栈，本技能的栈布局分析不适用，应转向 heap-exploitation。BROP、ret2vdso、JOP/COP 等扩展内容收录在高级参考文档中，适合二进制不公开或 gadget 极度匮乏的远程场景。