ROP简单 ret2syscall

最新推荐文章于 2024-02-20 21:09:03 发布
最新推荐文章于 2024-02-20 21:09:03 发布
阅读量241 收藏
点赞数
原文链接：http://www.cnblogs.com/haozhizhi/p/11013074.html
版权

开启的NX保护 写shellcode 是不可能的，也没有system等函数

存在溢出，算下偏移

变量与bp的距离就等于0x60

这个变量的开栈是根据sp开的

他距离sp0x1c

所以偏移就是 bp-sp-0xc1 画个图吧

ESP|-----------------0x1c----------|变量|----------------------------|EBP|

如果就是寻找pop

我理解的这个rop的原理大概就是拼一个 系统调用的栈出来

比如execve（‘/bin/sh’）

就需要把execve  push到eax里面

吧/bin/sh’ push 到ebx 里面

还需要把ecx，edx push进去

然后 比如汇编 pop ebx ; ret  +10   

那么ebx 里面就存着10了

然后在int 0x80  就 会执行寄存器里面的了

转载于:https://www.cnblogs.com/haozhizhi/p/11013074.html

Msro
关注
ret2syscall
qq_44759495的博客
07-04 1397
原理 ret2syscall，即控制程序执行系统调用，获取 shell。 步骤 checksec检查是否有保护 可以看出，源程序为 32 位，开启了 NX 保护。接下来利用 IDA 来查看源码 int __cdecl main(int argc, const char **argv, const char **envp) { int v4; // [sp+1Ch] [bp-64h]@1 ...
从零开始学逆向：理解ret2syscall
weixin_44626085的博客
02-19 1315
链接：https://pan.baidu.com/s/19ymHlZZmVGsJHFmmlwww0w 提取码：r4el 首先checksec 看一下保护机制ret2syscall 即控制程序执行系统调用来获取 shell 什么是系统调用？​ 3.1 使用ida打开分析 ​gets函数存在明显的栈溢出，但是这次没有后门函数，NX防护也打开了，那么就要换一种套路了，通过系统调用拿到shell 我们需要控制eax，ebx，ecx，edx的值，可以使用ROPgadget这个工具帮我们找到所需的代码片段。
pwn小白入门05---ret2syscall
weixin_45943522的博客
02-21 3515
ret2syscall ROP原理： 随着 NX 保护的开启，以往直接向栈或者堆上直接注入代码的方式难以继续发挥效果。攻击者们也提出来相应的方法来绕过保护，目前主要的是 ROP(Return Oriented Programming)，其主要思想是在栈缓冲区溢出的基础上，利用程序中已有的小片段 (gadgets) 来改变某些寄存器或者变量的值，从而控制程序的执行流程。 gadget： 所谓 gadgets 就是以 ret 结尾的指令序列，通过这些指令序列，我们可以修改某些地址的内容，方便控制程序的执行流程。
ROP-基础-ret2syscall
热门推荐
ATFWUS的博客
02-28 1万+
文件下载地址： 链接：https://pan.baidu.com/s/1HBR7_yuCsP8awm_QNHTdAQ 提取码：uxt8 0x01.checksec Arch: i386-32-little RELRO: Partial RELRO Stack: No canary found NX: NX enabled ...
ROP链：ret2syscall
小龙在线
09-13 423
安全机制 ASLR（地址随机化） PIE（加强版ASLR） NX(数据段不可执行) ROP 系统调用 stack canary(栈溢出 写入校验值 ) stack smash 内存泄漏 RELRO got表 延迟绑定 plt 汇编代码 把真实地址放入got got 表单 跳转到libc.so 利用方法： 劫持eip，改为system plt 任意地址写got表，改为system真实地址，相当于调用call system（Got表劫持） 泄露，如泄露got表，里面有printf地址，进而计算出libc地址，
[二进制安全学习]ret2syscall
Y4tacker的博客
07-15 428
文章目录写在前面ret2syscall参考文章 写在前面 今天再冲一个就歇息了 ret2syscall Ret2Syscall，即控制程序执行系统调用，进而获取shell 老规矩checksec 可以看出，源程序为 32 位，开启了 NX 保护。接下来利用 IDA 来查看源码，存在栈溢出 分析偏移 可以推断 s 的地址为0xffffd16c s 相对于 ebp 的偏移为0x6c s 相对于返回地址的偏移为 0x6c+4 我们利用如下系统调用来获取 shell execve("/bin/sh",NU
ret2syscall（pwn第二课）
最新发布
s5555555___的博客
02-20 1318
xo.01 ret2syscall原理ret2syscall，即通过ROP控制程序执行系统调用，获取 shell。xo.02 ROP原理：随着 NX 保护的开启，以往直接向栈或者堆上直接注入代码的方式难以继续发挥效果。攻击者们也提出来相应的方法来绕过保护，目前主要的是 ROP(Return Oriented Programming)，其主要思想是所谓 gadgets 就是以 ret 结尾的指令序列。例如：pop eax;ret这段代码的作用就是将。
【PWN · ret2syscall】[Wiki] ret2syscall
Mr_Fmnwon的博客
05-06 1892
虽然网上（包括CSDN）有很多ret2syscall的例题，但大多是Wiki，且摘自官方题解蒟蒻想从自己的“碰南墙“的历程出发，以蒟蒻萌新的视角，述说蒟蒻萌新的新路历程~~
pwn ret2syscall
young‘s blog
02-11 989
学了学pwndbg的使用，文章在这里：gdb+pwndbg食用指南 这篇博客注定是一篇水文，因为昨天做了做XCTF攻防世界上的题目，基础题都做不来，那题应该是ret2text的内容，还是太菜，没有深刻理解原理，导致做不出，对于ret2syscall现在理解的不深刻，在这里记录一下是怎么做的吧，原理懂了再补上。 查看一下文件的基本信息 32位静态链接的程序，开启了NX保护。 由于是静态链接的，所以我...
好好说话之ret2syscall
hollk’s blog
06-22 1062
题目路径： /ctf-challenges/pwn/stackoverflow/ret2syscall/bamboofox-ret2syscall 看C代码 #include <stdio.h> #include <stdlib.h> char *shell = "/bin/sh"; int main(void) { setvbuf(stdout, 0LL, 2,...
pwn基本ROP——ret2syscall
turtlesd的博客
04-25 2852
ret2syscall环境原理系统调用利用方式漏洞分析使用`checksec`指令查看程序保护措施使用IDE32位进行调试payload 环境 ret2syscall 原理 系统调用 系统调用（英语：system call），指运行在用户空间的程序向操作系统内核请求需要更高权限运行的服务。 操作系统的进程空间可分为用户空间和内核空间，它们需要不同的执行权限。其中系统调用运行在内核空间。 应用程序调用系统调用的过程是： 1、把系统调用的编号存入 EAX； 1、把函数参数存入其它通用寄存器； 3、触发 0x80
构造syscall调用execve的rop
05-28
ROP（Return-oriented Programming）是一种攻击技术，它利用程序的已有代码（即gadget）来构造攻击。在构造syscall调用execve的ROP时，我们需要找到一些适合我们需要的gadget，以及一个能够满足我们需求的内存区域来存储我们的ROP链。 以下是一个构造syscall调用execve的ROP的示例： ``` ; pop rax ; ret gadget pop_rax_ret: 0x000000000040089c ; pop rdi ; ret gadget pop_rdi_ret: 0x000000000040089e ; pop rsi ; ret gadget pop_rsi_ret: 0x00000000004008a0 ; pop rdx ; ret gadget pop_rdx_ret: 0x00000000004008a2 ; syscall gadget syscall: 0x00000000004005f6 ; address of "/bin/sh" string bin_sh: db '/bin/sh',0 rop: ; set rax to 0x3b (execve syscall number) pop rax ; ret 0x000000000040089c 0x3b ; set rdi to the address of "/bin/sh" string pop rdi ; ret 0x000000000040089e bin_sh ; set rsi to 0 pop rsi ; ret 0x00000000004008a0 0x0 ; set rdx to 0 pop rdx ; ret 0x00000000004008a2 0x0 ; syscall syscall ``` 在这个例子中，我们使用了以下gadgets： - pop rax ; ret：弹出栈顶元素到rax寄存器中； - pop rdi ; ret：弹出栈顶元素到rdi寄存器中； - pop rsi ; ret：弹出栈顶元素到rsi寄存器中； - pop rdx ; ret：弹出栈顶元素到rdx寄存器中； - syscall：执行系统调用。 我们的ROP链的第一步是将rax寄存器设置为execve系统调用的编号（0x3b）。接下来，我们将/bin/sh字符串的地址传递给rdi寄存器。然后，我们将rsi和rdx寄存器都设置为0，因为execve系统调用不需要任何参数。最后，我们使用syscall gadget来执行系统调用。 请注意，我们需要在内存中准备/bin/sh字符串，因为execve系统调用需要它。在这个例子中，我们将/bin/sh字符串存储在名为bin_sh的标签中。在实际攻击中，这个字符串可以存储在任何我们可以访问的内存区域中。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值