Linux pwn入门教程(3)——ROP技术

作者：Tangerine@SAINTSEC

原文来自：https://bbs.ichunqiu.com/thread-42530-1-1.html

0×00 背景

在上一篇教程的《shellcode的变形》一节中，我们提到过内存页的RWX三种属性。显然，如果某一页内存没有可写(W)属性，我们就无法向里面写入代码，如果没有可执行(X)属性，写入到内存页中的shellcode就无法执行。关于这个特性的实验在此不做展开，大家可以尝试在调试时修改EIP和read()/scanf()/gets()等函数的参数来观察操作无对应属性内存的结果。那么我们怎么看某个ELF文件中是否有RWX内存页呢？首先我们可以在静态分析和调试中使用IDA的快捷键Ctrl + S

或者同上一篇教程中的方法，使用pwntools自带的checksec命令检查程序是否带有RWX段。当然，由于程序可能在运行中调用mprotect(), mmap()等函数动态修改或分配具有RWX属性的内存页，以上方法均可能存在误差。

既然攻击者们能想到在RWX段内存页中写入shellcode并执行，防御者们也能想到，因此，一种名为NX位（No eXecute bit）的技术出现了。这是一种在CPU上实现的安全技术，这个位将内存页以数据和指令两种方式进行了分类。被标记为数据页的内存页（如栈和堆）上的数据无法被当成指令执行，即没有X属性。由于该保护方式的使用，之前直接向内存中写入shellcode执行的方式显然失去了作用。因此，我们就需要学习一种著名的绕过技术——ROP（Return-Oriented Programming, 返回导向编程）

顾名思义，ROP就是使用返回指令ret连接代码的一种技术（同理还可以使用jmp系列指令和call指令，有时候也会对应地成为JOP/COP）。一个程序中必然会存在函数，而有函数就会有ret指令。我们知道，ret指令的本质是pop eip，即把当前栈顶的内容作为内存地址进行跳转。而ROP就是利用栈溢出在栈上布置一系列内存地址，每个内存地址对应一个gadget，即以ret/jmp/call等指令结尾的一小段汇编指令，通过一个接一个的跳转执行某个功能。由于这些汇编指令本来就存在于指令区，肯定可以执行，而我们在栈上写入的只是内存地址，属于数据，所以这种方式可以有效绕过NX保护。

0×01 使用ROP调用got表中函数

首先我们来看一个x86下的简单ROP，我们将通过这里例子演示如何调用一个存在于got表中的函数并控制其参数。我们打开~/RedHat 2017-pwn1/pwn1。可以很明显看到main函数存在栈溢出：

变量v1的首地址在bp-28h处，即变量在栈上，而输入使用的__isoc99_scanf不限制长度，因此我们的过长输入将会造成栈溢出。

程序开启了NX保护，所以显然我们不可能用shellcode打开一个shell。根据之前文章的思路，我们很容易想到要调用system函数执行system(“/bin/sh”)。那么我们从哪里可以找到system和”/bin/sh”呢？

第一个问题，我们知道使用动态链接的程序导入库函数的话，我们可以在GOT表和PLT表中找到函数对应的项（稍后的文章中我们将详细解释）。跳转到.got.plt段，我们发现程序里居然导入了system函数。

解决了第一个问题之后我们就需要考虑第二个问题。通过对程序的搜索我们没有发现字符串“/bin/sh”，但是程序里有__isoc99_scanf，我们可以调用这个函数来读取”/bin/sh”字符串到进程内存中。下面我们来开始构建ROP链。

首先我们考虑一下“/bin/sh”字符串应该放哪。通过调试时按Ctrl+S快捷键查看程序的内存分段，我们看到0x0804a030开始有个可读可写的大于8字节的地址，且该地址不受ASLR影响，我们可以考虑把字符串读到这里。

接下来我们找到__isoc99_scanf的另一个参数“%s”，位于0x08048629




接着我们使用pwntools的功能获取到__isoc99_scanf在PLT表中的地址，PLT表中有一段stub代码，将EIP劫持到某个函数的PLT表项中我们可以直接调用该函数。我们知道，对于x86的应用程序来说，其参数从右往左入栈。因此，现在我们就可以构建出一个ROP链。
`from pwn import *

context.update(arch = ‘i386′, os = ‘linux’, timeout = 1)
io = remote(’172.17.0.3′, 10001)

elf = ELF(‘./pwn1′)
scanf_addr = p32(elf.symbols['__isoc99_scanf'])
format_s = p32(0×08048629)
binsh_addr = p32(0x0804a030)

shellcode1 = ‘A’*0×34
shellcode1 += scanf_addr
shellcode1 += format_s
shellcode1 += binsh_addr

print io.read()
io.sendline(shellcode1)
io.sendline(“/bin/sh”) 我们来测试一下。 通过调试我们可以看到，当EIP指向retn时，栈上的数据和我们的预想一样，栈顶是plt表中__isoc99_scanf的首地址，紧接着是两个参数。 ![](data/attachment/album/201807/06/113538drglfgfgrrlmrtry.png) 我们继续跟进执行，在libc中执行一会儿之后，我们收到了一个错误 ![](data/attachment/album/201807/06/113544p5333t7qe797qgbt.png) 这是为什么呢？我们回顾一下之前的内容。我们知道call指令会将call指令的下一条指令地址压入栈中，当被call调用的函数运行结束后，ret指令就会取出被call指令压入栈中的地址传输给EIP。但是在这里我们绕过call直接调用了__isoc99_scanf，没有像call指令