ROP攻击技术

原文地址：

http://blog.csdn.net/linyt/article/details/48738757

背景

前面介绍了ret2libc和ret2plt，这两个攻击技术的相通点是函数参数是通过压栈来传递，这也是i386架构的调用约定。然而随着64位服务器的普及，以及后来越来越广泛，以致几乎所有服务器都升级到64位的硬件上。

x86_64天生具有免疫力

根据X86_64 ABI的调用约定，函数间传递参数不再以压栈的方式，而是以寄存器方式传递参数，前面6个参数依次以rdi, rsi, rdx, rcx, r8和r9寄存来传递。

在Linux系统，64位架构只使用48位的虚拟地址空间，也即每个地址高16位全部为0，因此在64位系统上，地址已天然零化。

前面介绍的攻击方法似乎一夜之间没有用武之地，很快安全人员在ret2plt攻击方法基础上，做了一个升级片本的攻击方法，称为ROP(Return-oriented programming)方法。

何谓ROP

顾名思义ROP，就是面向返回语句的编程方法，它借用libc代码段里面的多个retq前的一段指令拼凑成一段有效的逻辑，从而达到攻击的目标。

为什么是retq，因为retq指令返到哪里执行，由栈上的内容决定，而这是攻击者很容易控制的地址。

那参数如何控制，就是利用retq执行前的pop reg指令，将栈上的内容弹到指令的寄存器上，来达到预期

一段retq指令未必能完全到想攻击目标的前提条件，那可在栈上控制retq指令跳到另一段retq指令表，如果它还达不到目标，再跳到另一