linux syscall参数,SYSCALL: 传递字符串参数的系统调用

646b2c5a971c5dca419b4b088abbfb20.png

目录

b1745a317cf167359080735e730438b9.png

实践原理

用户空间可用通过系统调用可以将一个或多个字符串数据传递给内核空间。对于

字符串参数,用户空间必须通过指针的方式传到内核空间,由于这样的方式导致

内核空间不能直接访问用户空间的数据,会导致内核非法访问。因此对于这种情况,

内核首先将用户空间的数据拷贝到内核空间,这样才能安全使用数据。内核也可以

将内核字符串数据传递给用户空间,此时也不能直接传,也需要通过安全的拷贝

操作才能完整任务。用户空间的系统调用部分传递的是一个指针,因此内核向

用户空间传递字符串时,可以使用安全的拷贝函数将字符串放置到用户空间指针

对应的位置。字符串相关的参数可以是一个字符串常量、字符数组、字符、字符

指针,字符串相关的结构体. 用户空间使用格式如下:

int main(void)

{

const char *strings = "Hello BiscuitOS";

char *buffer[128];

char ch = 'B';

char *ptr;

struct BiscuitOS_node node = {

.nr = 20,

};

int ret;

/* malloc */

ptr = (char *)malloc(128);

/*

* sys_hello_BiscuitOS: String paramenter

* kernel:

* SYSCALL_DEFINE5(hello_BiscuitOS,

* char, ch,

* char __user *, const_string,

* char __user *, string_array,

* char __user *, string_ptr,

* struct BiscuitOS_node __user *, string_struct);

*/

ret = syscall(__NR_hello_BiscuitOS,

ch,

strings,

buffer,

ptr,

&node);

return 0;

}

内核空间系统调用部分接受上面的参数时,可以使用如下格式:

SYSCALL_DEFINE5(hello_BiscuitOS,

char, ch,

char __user *, const_strings,

char __user *, string_array,

char __user *, string_ptr,

struct BiscuitOS_node __user *, string_struct)

{

....

}

从上面的定义可以出,只要是从用户空间传递的指针参数,都需要添加

“__user” 进行强制说明,这是内核检测机制使用的符号,不影响函数的实际

功能。从上述也看到不论是字符串常量,还是数据结构都需要指针方式传递,

只有字符不需要。对于系统调用传递多个整形参数的方法,开发者可以参考如下文档:

对于系统调用的返回值&#x

  • 4
    点赞
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
ROP(Return-oriented Programming)是一种攻击技术,它利用程序的已有代码(即gadget)来构造攻击。在构造syscall调用execve的ROP时,我们需要找到一些适合我们需要的gadget,以及一个能够满足我们需求的内存区域来存储我们的ROP链。 以下是一个构造syscall调用execve的ROP的示例: ``` ; pop rax ; ret gadget pop_rax_ret: 0x000000000040089c ; pop rdi ; ret gadget pop_rdi_ret: 0x000000000040089e ; pop rsi ; ret gadget pop_rsi_ret: 0x00000000004008a0 ; pop rdx ; ret gadget pop_rdx_ret: 0x00000000004008a2 ; syscall gadget syscall: 0x00000000004005f6 ; address of "/bin/sh" string bin_sh: db '/bin/sh',0 rop: ; set rax to 0x3b (execve syscall number) pop rax ; ret 0x000000000040089c 0x3b ; set rdi to the address of "/bin/sh" string pop rdi ; ret 0x000000000040089e bin_sh ; set rsi to 0 pop rsi ; ret 0x00000000004008a0 0x0 ; set rdx to 0 pop rdx ; ret 0x00000000004008a2 0x0 ; syscall syscall ``` 在这个例子中,我们使用了以下gadgets: - pop rax ; ret:弹出栈顶元素到rax寄存器中; - pop rdi ; ret:弹出栈顶元素到rdi寄存器中; - pop rsi ; ret:弹出栈顶元素到rsi寄存器中; - pop rdx ; ret:弹出栈顶元素到rdx寄存器中; - syscall:执行系统调用。 我们的ROP链的第一步是将rax寄存器设置为execve系统调用的编号(0x3b)。接下来,我们将/bin/sh字符串的地址传递给rdi寄存器。然后,我们将rsi和rdx寄存器都设置为0,因为execve系统调用不需要任何参数。最后,我们使用syscall gadget来执行系统调用。 请注意,我们需要在内存中准备/bin/sh字符串,因为execve系统调用需要它。在这个例子中,我们将/bin/sh字符串存储在名为bin_sh的标签中。在实际攻击中,这个字符串可以存储在任何我们可以访问的内存区域中。

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值