ROP初探之ret2text

ROP

什么是ROP

ROP即返回导向编程是一种计算机安全利用技术，它允许攻击者在存在诸如可执行空间保护和代码签名等安全防御的情况下执行代码。
在这种技术中，攻击者通过控制调用栈来劫持程序控制流，并执行机器内存中已存在的精心选择的机器指令序列，称为“gadgets”。
每个gadgets通常以返回指令结束，并位于现有程序和/或共享库代码中的子程序内。
这些gadgets串联在一起，允许攻击者在使用阻止更简单攻击的防御的机器上执行任意操作。

ROP的原理

ROP的原理是利用程序内存中已存在的以返回指令结尾的指令序列（gadgets）来控制程序执行流程。攻击者通过缓冲区溢出或其他方式在栈上布置数据，覆盖返回地址为gadgets的地址，从而实现代码注入。ROP可以绕过NX保护，因为它不需要在栈上执行任何新的代码，只需要利用现有的代码。ROP需要精心选择和拼接gadgets，以实现所需的功能。

ROP的前置条件

1. 需要程序存在缓冲区溢出漏洞。
2. 需要在程序内存中找到合适的gadgets，即以返回指令结尾的指令序列，可以实现所需的功能。
3. 需要能够在栈上布置数据，以控制gadgets的执行流程。

ROP的分类

ROP的分类有多种方式，其中一种是根据gadgets的来源和功能进行分类。例如，可以将ROP分为以下几类：

• 基本ROP：使用程序内存中已存在的gadgets，实现基本的功能，如控制寄存器、调用函数、执行系统调用等。
• 高级ROP：使用程序内存中不存在的gadgets，通过动态生成或修改代码，实现更复杂的功能，如解密、解压缩、加载库等。
• 混合ROP：使用程序内存中部分存在的gadgets，结合动态生成或修改代码，实现更灵活和多样的功能，如跳过安全检查、绕过防御机制等。

其中基本ROP的利用方式有：

• ret2shellcode：将返回地址覆盖为栈或BSS段中存放的shellcode的地址，从而执行shellcode。
• ret2text：将返回地址覆盖为程序.text段中已有的代码的地址，从而执行程序本身的代码。
• ret2libc：将返回地址覆盖为libc库中的函数或字符串的地址，从而执行libc库中的代码或调用系统函数。
• ret2plt：将返回地址覆盖为程序.PLT段中的函数入口的地址，从而执行程序导入的函数。
• ret2dlresolve：将返回地址覆盖为程序.GOT段中的函数入口的地址，从而执行程序导入的函数。
• ret2syscall：将返回地址覆盖为系统调用指令的地址，从而执行系统调用。

ret2text

ret2text的原理（来自