#include<stdio.h>
#include<windows.h>

void Fun()
{
        printf("Kali-Team\n");
}

int check()
{
    int arr[4] = {0,1,2,3};
    arr[5] = (int)&Fun;
    return 0;
}

void main()
{
    _asm{
        mov eax,eax;
        mov eax,eax;
    }
    check();
    getchar();
    return;
}

• 调用check函数前先把004010F1(call下一条要执行的地址)压入堆栈中，当前的ESP为0012FF30，EBP为0012FF80，check函数的地址为00401005。F11单步跟进函数。
• 因为压入了call下一步的返回地址，所以ESP减4变为0012FF2C，到下面的push原ebp到堆栈中，esp减4，mov将当前ebp改为esp后提升堆栈50h(十进制的80)，再保存ebx，esi，edi三个寄存器的值到栈中，esp减12，最后四行为填充CC到缓冲区。

00401070 55                   push        ebp
00401071 8B EC                mov         ebp,esp
00401073 83 EC 50             sub         esp,50h
00401076 53                   push        ebx
00401077 56                   push        esi
00401078 57                   push        edi
00401079 8D 7D B0             lea         edi,[ebp-50h]
0040107C B9 14 00 00 00       mov         ecx,14h
00401081 B8 CC CC CC CC       mov         eax,0CCCCCCCCh
00401086 F3 AB                rep stos    dword ptr [edi]

• 下面是给数组arr赋值，局部变量在堆栈中保存。

00401088 C7 45 F0 00 00 00 00 mov         dword ptr [ebp-10h],0
0040108F C7 45 F4 01 00 00 00 mov         dword ptr [ebp-0Ch],1
00401096 C7 45 F8 02 00 00 00 mov         dword ptr [ebp-8],2
0040109D C7 45 FC 03 00 00 00 mov         dword ptr [ebp-4],3

• 关键代码继续给arr赋值，因为上面已经分配到ebp-4了，下标为4的很明显是越界了，就会覆盖到ebp

004010A4 C7 45 04 0A 10 40 00 mov         dword ptr [ebp+4],offset @ILT+5(Fun) (0040100a)

• call的返回地址在EBP+4中，所以我们要将下标改为5，即为arr[5] = (int)&Fun;

004010AD 5F                   pop         edi
004010AE 5E                   pop         esi
004010AF 5B                   pop         ebx
004010B0 8B E5                mov         esp,ebp
004010B2 5D                   pop         ebp
004010B3 C3                   ret

• 在恢复寄存器后执行ret指令，将arr[5]的值给了EIP。

• 现在就会把Check函数的返回地址改为Fun函数的开始地址，所以Fun会被执行。

	0012FECC		edi
	0012FED0		esi
	0012FED4		ebx
esp	0012FED8		提升堆栈后到了这里
		0	Ebp-10
		1	Ebp-C
		2	Ebp-8
		3	Ebp-4
ebp	0012FF28	保存原ebp	0012FF80
	0012FF2C		call下一步的返回地址
	0012FF30
	…
	0012FF80