protostar_stack6

 

这段程序程序要求调用getpath函数但是 调用者的地址不能以0xbf开头！

ret表示返回地址。

__builtin_return_address(0)的含义是，得到当前函数返回地址，即此函数被别的函数调用，然后此函数执行完毕后，返回，所谓返回地址就是那时候的地址。

这个函数是gcc在linux下的特性，建议看这个文章，讲述的异常清晰：

http://www.ibm.com/developerworks/cn/linux/l-gcc-hacks/

 

objdump 一下目标文件：

 

 

 

buffer = esp + 28 = ebp -76

返回地址 = buffer + 80

现在，我们的目的是让shellcode可以正常执行的同时，让返回地址开头不是bf，这个很难办，因为BF什么的，是栈中的地址，我们能够利用的主要是栈中的东西，无论是把ret重定位的什么地址，基本都是栈中的内容。

什么东西不在栈中呢？

一些库函数不在栈中!    下面是关于ret2libc的介绍：

---

ret2libc

参见： http://protostar-solutions.googlecode.com/hg/Stack%206/ret2libc.pdf

ret2libc , Return to libc    返回到c库

libc is the C standard shared library programs are linked against. It contains every-day use functions such as printf, strlen, strcpy, and so on.There is the one function that will be of special use to use: system(). The system() function only takes one argument, a pointer to a string containing the path and name of the program we want to execute; pretty straight.

现在问题是如何找到“/bin/sh”这个字符串，在内存中

有两种方式：1. 在程序的输入的地方加入 相应的字符串

                     2. 在环境变量中加入 相应的字符串

 

而栈的形态，应该是这样子的：

 

这个低地址和高地址是反过来的。

如果高在上的话，我粗略的画了一个图，是这样的：

 

 

---

首先查看system，exit函数的地址：

 

stack6程序，gdb调试，在esp处  x/1000s $esp 找到 /bin/sh字符串的位置0xbfffffba

 

 

所以我们利用：

 

perl -e 'print "a"x80 . " \xb0\xff\xec\xb7" . " \xc0\x60\xec\xb7" . " \xba\xff\xff\xbf" ' | ./stack6

但是这种方式不行！

我一直不明白为什么，直到看了这个：

https://code.google.com/p/protostar-solutions/source/browse/Stack%206/stack6.txt

它的解释是 system("/bin/sh") not working because bash drops priviledges (man bash)

 

好吧，先说能行的方法：
还是利用之前的shell code ：

http://www.exploit-db.com/exploits/13357/

把它编译成目标文件，然后利用之前的方法，只是把字符串 "/bin/sh"的地址 换成 目标文件的目录的字符串的地址！

 

 

 

perl -e 'print "a"x80 . " \xb0\xff\xec\xb7" . " \xc0\x60\xec\xb7" . " \xc5\xff\xff\xbf" ' | ./stack6

 

发现不行，进行适当的调整：终于可以了！

 

 

关于linux环境变量的问题：

http://blog.csdn.net/embedded_hunter/article/details/6897027

 

 

 

 

 

 

来自为知笔记(Wiz)

转载于:https://www.cnblogs.com/ydfr/p/3204142.html