1. 分析程序流程

2. 查看保護

3. 計算偏移

4.明確目標（我們要組合的shellcode）

系統(tǒng)調用號，即 eax 應該為 0xb

第一個參數(shù)，即 ebx 應該指向 /bin/sh 的地址，其實執(zhí)行 sh 的地址也可以。

第二個參數(shù)，即 ecx 應該為 0

第三個參數(shù)，即 edx 應該為 0

接下來我們就要一點點的去拼湊這些內容，我們沒法直接在棧里寫指令，只能夠利用程序中自帶的指令去拼湊。

4. 將eax設置為0xb，我們是沒法直接往棧里寫mov eax,0xb的，那么還有另一種方式是pop eax，但是要保證棧頂必須是0xb。然后設置ebx,ecx,edx，同樣是這樣的道理，所以我們可以想象棧中的數(shù)據(jù)是：

pop eax；ret

0xb

pop ebx;pop ecx;pop edx;ret

"/bin/sh"的地址

0

0

int 0x80的地址

這樣我們就可以保證eax，ebx，ecx，edx的值了。所以接下來我們要在程序中找一下有沒有pop eax;和pop ebx;pop ecx;pop edx;的指令。

5. ROPgadget --binary ./ret2syscall --only "pop|ret" | grep "eax"

6.ROPgadget --binary ./ret2syscall --only "pop|ret" | grep "ebx" | grep "ecx" | grep "edx"

恰好也有我們所需要的，只不過順序和我們的不同，在組織payload時候需要調換下順序

6. ROPgadget --binary ./ret2syscall --string "/bin/sh"

7. ROPgadget --binary ./ret2syscall --only "int"

8. 編寫exp

9. 調試驗證