onegadget不起作用

最新推荐文章于 2025-10-12 13:39:17 发布

原创最新推荐文章于 2025-10-12 13:39:17 发布 · 2.9k 阅读

20 ·

CC 4.0 BY-SA版权

文章标签：

#one_gadget

pwn 专栏收录该内容

21 篇文章

订阅专栏

本文深入探讨了在利用one_gadget进行漏洞攻击时所需满足的条件，如0x4526a要求[rsp+0x30]==NULL。文章详细讲解了如何通过调整__malloc_hook和realloc_hook来满足条件，实现getshell的目的。通过实例分析，读者可以了解到如何通过控制push数量调整esp指针，使esp’满足one_gadget的条件。

one_gadget的执行是需要一些条件的

0x45216 execve("/bin/sh", rsp+0x30, environ)
constraints:
  rax == NULL

0x4526a execve("/bin/sh", rsp+0x30, environ)
constraints:
  [rsp+0x30] == NULL

0xf02a4 execve("/bin/sh", rsp+0x50, environ)
constraints:
  [rsp+0x50] == NULL

0xf1147 execve("/bin/sh", rsp+0x70, environ)
constraints:
  [rsp+0x70] == NULL

例如0x4526a，我们需要满足[rsp+0x30] == NULL这个条件。
当向__malloc_hook写one_gadget时，如果不满足one_gadget的条件时，而我们的环境不太好调整，所以无法getshell。
我们可以通过__malloc_hook和realloc_hook相配合的方法来使得one_gadget生效。
以0x4526a这个one_gadget为例
当eip到达这个位置时，esp为0x7fffffffdb88
在这里插入图片描述

[esp+0x30]=0x00007fffffffdd50
但是我们可以看到[esp+0x38]=NULL。我们可以通过调整esp指针的值来使得新的esp’满足[esp’+0x30]=[esp+0x38]=NULL。
能够调整esp的手段就是通过控制__malloc_hook里面存的__libc_realloc地址来控制push的数量
在这里插入图片描述
，所在在这我们只需要向__malloc_hook存入0x7ffff7a916c2，少一个push，esp’=esp+8,所以[esp’+0x30]=[esp+0x38]

在这里面我们分析的很粗糙，如果要仔细分析的话，要考虑实际的堆栈空间。
实际做题目时，我们可以尝试几次，来使得[esp+0x30]满足条件。