这篇博客介绍了在64位系统中解决(Jarvis Oj) Pwn level2挑战的方法。内容涉及检查程序保护、溢出点定位以及与32位不同的参数传递方式。在64位程序中，利用pop edi/rdi;ret指令覆盖edi寄存器以传递'/bin/sh'到system函数，实现控制流程。作者通过ropgadget找到所需 gadget，并给出了利用脚本的概要。
(Jarvis Oj)(Pwn) level2(x64)
首先用checksec查一下保护，和level2一样。
反汇编，程序和32位的程序几乎一致。找到溢出点。
那么溢出思路也和32位的差不多，唯一不同的是，64位程序在调用system函数时，参数的传递方式和32位不一样，32位是通过栈传参，而64位通过edi寄存器传参，所以这时我们的思路变成如何覆盖edi的值，通过基本rop就可以做到，利用程序自己的带有pop edi/rdi;ret语句达到给edi赋值的效果。pop edi语句是将当前的栈顶元素传递给edi，在执行pop语句时，只要保证栈顶元素是”/bin/sh”的地址，并将返回地址设置为system。示意图如下：
通过ropgadget去找pop edi;ret的地址。
最后写得脚本。 <
最低0.47元/天 解锁文章
扫一扫
429
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
