onegadget不起作用

关注

原创最新推荐文章于 2026-08-07 14:53:48 发布 3k 阅读 AI 写同款· GEO 优化 ›

关于利用realloc函数调整栈使onegadget可执行。此贴主要讲述： free_hook无法劫持，劫持__malloc_hook填onegadget全部失效的情况。我们利用realloc函数调整栈的位置，使得onegadget可执行。直接上题了。buuoj上面的一个题。保护全开。漏洞点在于edit函数的溢出常规思路，修改size，利用chunk overlap打free_hook,或者malloc_hook即可。但是free_hook打... 阅读详情

one_gadget的执行是需要一些条件的

0x45216 execve("/bin/sh", rsp+0x30, environ)
constraints:
  rax == NULL

0x4526a execve("/bin/sh", rsp+0x30, environ)
constraints:
  [rsp+0x30] == NULL

0xf02a4 execve("/bin/sh", rsp+0x50, environ)
constraints:
  [rsp+0x50] == NULL

0xf1147 execve("/bin/sh", rsp+0x70, environ)
constraints:
  [rsp+0x70] == NULL

例如0x4526a，我们需要满足[rsp+0x30] == NULL这个条件。
当向__malloc_hook写one_gadget时，如果不满足one_gadget的条件时，而我们的环境不太好调整，所以无法getshell。
我们可以通过__malloc_hook和realloc_hook相配合的方法来使得one_gadget生效。
以0x4526a这个one_gadget为例
当eip到达这个位置时，esp为0x7fffffffdb88
在这里插入图片描述

[esp+0x30]=0x00007fffffffdd50
但是我们可以看到[esp+0x38]=NULL。我们可以通过调整esp指针的值来使得新的esp’满足[esp’+0x30]=[esp+0x38]=NULL。
能够调整esp的手段就是通过控制__malloc_hook里面存的__libc_realloc地址来控制push的数量
在这里插入图片描述
，所在在这我们只需要向__malloc_hook存入0x7ffff7a916c2，少一个push，esp’=esp+8,所以[esp’+0x30]=[esp+0x38]

在这里面我们分析的很粗糙，如果要仔细分析的话，要考虑实际的堆栈空间。
实际做题目时，我们可以尝试几次，来使得[esp+0x30]满足条件。