2017年5月12日，漏洞利用英国一名22岁的教程安全研究员马库斯·哈钦斯在推特上发了一句话：“我无意中发现了这个。”他当时正在研究一个恶意软件样本，漏洞利用结果意外触发了它的教程传播机制——那个后来被称为“WannaCry”的勒索病毒。短短几小时内，漏洞利用全球超过20万台电脑被加密，教程医院取消手术，漏洞利用工厂停线，教程学校断网。漏洞利用哈钦斯发现的教程不是病毒本身，而是漏洞利用一个漏洞利用工具：永恒之蓝。

漏洞利用，教程说白了就是漏洞利用找到软件里一个没关好的门，然后从那儿溜进去。教程门可能是漏洞利用缓冲区溢出、整数溢出、释放后使用，或者逻辑上的权限校验缺失。门本身不会自己打开，你得写一段代码去撬它。这段代码就是exploit。

拿缓冲区溢出举例。C语言里，程序给变量分配一块内存，比如char buf[64]。如果你往里塞100个字节，多出来的36个字节就会覆盖掉相邻的内存区域。如果那块区域恰好存着函数返回地址，你就能控制程序跳转到哪里执行。经典做法是让程序跳到你的shellcode——一段能弹出命令行或者下载远程文件的机器码。

但现代系统没那么好骗。ASLR随机化内存地址，DEP让栈不可执行，栈保护（canary）在返回地址前放一个随机值，溢出时先覆盖它，程序检测到变化就崩溃。绕过这些需要信息泄露、ROP链、或者找到没开保护的模块。2015年，Hacking Team泄露的Flash漏洞利用里就用了大量堆喷射和ROP，代码写得像迷宫一样绕。

漏洞利用的流程通常是这样：先找崩溃点。用AFL、libFuzzer这类模糊测试工具，或者手动审计代码。崩溃不等于可利用，得看崩溃时寄存器和栈的状态。如果EIP被控制，那就有戏。接着确定偏移量，用pattern_create和pattern_offset算出覆盖返回地址需要多少字节。然后找跳板，比如jmp esp指令的地址。再写shellcode，或者用msfvenom生成。最后组装成payload，本地调通，再打远程。

我见过一个真实的案例。某企业内网的一台旧打印机，固件里有个UPnP服务，解析XML时没检查长度。攻击者发一个超长SOAP请求，就能覆盖栈上的返回地址。打印机没有ASLR，没有DEP，直接跳到shellcode，反弹一个root shell。整个过程不到200字节。那台打印机三年没更新过固件，厂商早就不支持了。

漏洞利用不总是为了入侵。安全研究员用它来验证漏洞是否真实存在，厂商用它来写补丁，红队用它来评估防御。但同样的技术，到了勒索团伙手里就是加密文件，到了APT组织手里就是长期潜伏。工具本身没有善恶，用的人有。

想学漏洞利用，别一上来就啃《黑客攻防技术宝典》。先写C，理解内存布局。再学汇编，看懂函数调用约定。然后去exploit-db下几个老漏洞的PoC，自己编译、调试、修改。Windows平台可以从VulnHub的靶机开始，Linux平台试试pwnable.kr。别急着找0day，先把已知漏洞吃透。一个栈溢出你调通了，比看十篇论文管用。

最后说一句：别拿别人的系统练手。找个虚拟机，或者自己写的程序。法律红线碰不得，这不是开玩笑。

(责任编辑：综合)