basic ROP-浅谈ret2syscall原理[ctf-wiki]

最新推荐文章于 2025-05-07 20:10:29 发布
原创 最新推荐文章于 2025-05-07 20:10:29 发布 · 363 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#pwn #linux

一道简单的ctf-wiki上的基本ROP题目。
原理：控制程序执行系统调用,获取 shell。

传送门

0x01

预备知识：

系统调用通过 int 80h 实现,应用程序调用系统调用的过程是：
1.把系统调用的编号存入 EAX；
2.把函数参数存入其它通用寄存器；
3.触发 0x80 号中断。

execve函数：
在这里插入图片描述
详见：execve函数

0x02

解题步骤：

首先检查：
在这里插入图片描述

ida打开之后，没有system函数，只有binsh关键字,开启NX保护。
需要构造execve(“/bin/sh”, 0,0);
其中，系统调用号可以通过指令

cat /usr/include/
最低0.47元/天 解锁文章
PWN基础-ROP技术-ret2syscall-64位程序栈溢出利用
Welcome To Myon'Blog !
05-08 717
后面传两个参数就可以了，分开写，一起写都可以的，这里就不做过多演示了。前置 ret2syscall 的基础我们就不做过多讲解了。execve 系统调用号是 59，也就是 0x3b。ida 看一下 main 函数，存在明显的栈溢出。看到有两个连一起的，当然我们也可以一个一个地传参。而 64 位系统调用最后是执行 syscall。32 位系统调用最后是执行 int x080。我们这里只用到前三个就可以了，以及 rax。这里看到的这个不对，因为后面没有 ret。正确的应该是 0x45BAC5。
ROP链-BUUCTF-inndy_rop（ret2syscall）
最新发布
Welcome To Myon'Blog !
05-08 601
因为 pop dword ptr [ecx] 一次只能写入 4 个字节，所以我们分两次写入 /bin/sh。静态链接就意味着没法去打 ret2libc 了，因为 ret2libc 需要用到动态链接库里面的系统函数。后面就是常规的 ret2syscall 了，即系统调用 execve。既然有对 [ecx] 操作的，那么我们就继续找弹出 ecx 的指令。注意到左侧函数表有很多的函数，说明这个程序是静态链接的。找一个具有写权限的段，一般都是在 bss 段。找了一下，没有字符串 /bin/sh。
CTFWIKI-PWN-ret2syscall
m0_64180167的博客
04-19 721
该题目是在32位下。
基础ROP之：ret2text，ret2libc，ret2syscall，ret2shellcode
WdIg-2023的博客
01-30 1988
在上一篇文章中学习了gdb和pwntools的基本使用后，这篇文章来带领大家入门pwn，包括：ret2text，ret2libc，ret2syscall，ret2shellcode。
pwn基础之ctfwiki-栈溢出-基础ROP-ret2syscall
qq_52658640的博客
04-22 1905
文章目录前言原理系统调用ret2system挖掘漏洞2.读入数据总结 前言 二进制小白的学习笔记，如有错误请大佬及时斧正。 原理 ret2syscall，即控制程序执行系统调用，获取 shell。 系统调用 Linux 的系统调用通过 int 80h 实现，用系统调用号来区分入口函数。操作系统实现系统调用的基本过程是： 应用程序调用库函数（API）； API 将系统调用号存入 EAX，然后通过中断调用使系统进入内核态； 内核中的中断处理函数根据系统调用号，调用对应的内核函数（系统调用）； 系统调用完成相应
CTF|HITCON-Training-master lab5 writeup（ret2syscall题型）
skyattractive的博客
06-12 471
CTF|HITCON-Training-master lab5 writeup 题目的文件名是“simplerop” 意思是对rop链的简单利用 shift+f12 查看后，题目既没有给system函数又没有‘/bin/sh’ 大致判断是CTFwiki上基本rop中的ret2syscall类型的题目 大致思路是， 在文件中需寻找有用的gadget 通过题目中存在的栈溢出 将‘/bin/sh’写入文件中的bss段（或者data段） 然后将执行流引导到bss上执行即可 因为文件是32位，‘/bin/sh’需
[二进制安全学习]ret2syscall
Y4tacker的博客
07-15 619
文章目录写在前面ret2syscall参考文章 写在前面 今天再冲一个就歇息了 ret2syscall Ret2Syscall，即控制程序执行系统调用，进而获取shell 老规矩checksec 可以看出，源程序为 32 位，开启了 NX 保护。接下来利用 IDA 来查看源码，存在栈溢出 分析偏移 可以推断 s 的地址为0xffffd16c s 相对于 ebp 的偏移为0x6c s 相对于返回地址的偏移为 0x6c+4 我们利用如下系统调用来获取 shell execve("/bin/sh",NU
PWN基础-ROP技术-ret2syscall突破NX保护
Welcome To Myon'Blog !
05-07 545
我们 ret2syscall 实际还是希望调用 execve，和 ret2shellcode 类似，只是多了堆栈不可执行。后面我们会继续发送内容（/bin/sh）给 read 函数，读取到 bss_addr。我们继续调用 execve，其 32 位系统调用号是 11，即 0xb。没有找到，因此我们后面需要手动将 /bin/sh 写到 bss 段。我们先系统调用 read，其 32 位系统调用号是 3，即 0x3。接下来我们找 /bin/sh 字符串的地址。32 位程序，小端序，开启了 NX 保护。
BUUCTF--pwn--inndy_rop【ret2syscall】
qq_73149934的博客
12-24 434
BUUCTF--pwn--inndy_rop
ctf wiki rop基础 ret2syscall
weixin_55885866的博客
05-12 155
内核接收到int 0x80中断后，需要查询IDT表来取出中断处理函数地址，这个地方比较细节的地方是，int 0x80的idt表中的DPL被设置成了3，所以才能从用户态能直接访问int 0x80的中断指令的。个人理解：当出现int 0x80 时候 ，进入内核，可以使用eax ebx，。从而执行对应的系统调用。，(不仅会插入中断指令，还会将系统调用编号设置给 %eax 寄存器）查看到 eax 和 esp 的值 如下 通过ebp-eax的值。来主动进入内核，这是用户程序发起的调用访问内核代码的唯一方式。
ret2syscall
huzai9527的博客
02-02 274
1.ctfwiki-rop 检查保护，开启NX 检查溢出点 gets函数存在溢出，并且提醒没有可用的system函数以及不可以用shellcode 构造系统调用 寻找eax 寻找ebx、ecx、edx 寻找int 0x80 寻找 /bin/sh exp from pwn import * p = process('./rop') context.log_level = 'debug' pop_eax = 0x080bb196 pop_edx_ecx_eb
ROP-基础-ret2syscall
热门推荐
ATFWUS的博客
02-28 1万+
文件下载地址： 链接：https://pan.baidu.com/s/1HBR7_yuCsP8awm_QNHTdAQ 提取码：uxt8 0x01.checksec Arch: i386-32-little RELRO: Partial RELRO Stack: No canary found NX: NX enabled ...
ret2libc2和ret2syscall区别
03-23
<think>好的，我现在需要回答用户关于ret2libc和ret2syscall区别的问题。首先，我得回忆一下这两种攻击方式的基本概念，然后找出它们之间的不同点。用户提供的引用中有几个相关的资料，我需要仔细看一下这些引用内容，确保回答准确。 首先，ret2libc是一种利用程序中已有的库函数（比如system函数）的攻击方式，通常用于绕过NX保护。当程序没有提供后门函数时，攻击者可能需要泄露libc的地址，然后构造ROP链调用system函数。引用3和4提到了ret2libc的例子，比如调用system函数并传递参数如"/bin/sh"字符串的地址。 接下来是ret2syscall，这应该是指直接调用系统调用（syscall）而不是通过libc中的函数。比如在x86架构下，通过int 0x80指令，或者在x64架构下使用syscall指令来执行系统调用。这种攻击需要控制寄存器的值来传递系统调用号和参数，通常需要构造更复杂的ROP链来设置这些寄存器。 两者的主要区别在于利用的机制不同：ret2libc依赖现有的库函数，而ret2syscall直接使用系统调用。另外，ret2syscall可能不需要泄漏libc地址，但需要找到合适的gadgets来设置寄存器。而ret2libc可能需要泄漏libc基址来计算函数地址，特别是当ASLR启用时。 需要注意的是，用户提供的引用中并没有直接提到ret2syscall的具体例子，但引用2提到了栈溢出/ret2shellcode/ret2syscall/ret2libc的分类，说明ret2syscall是另一种方法。结合我的知识，ret2syscall通常涉及将返回地址指向syscall指令，并布置好寄存器参数。 另外，用户可能混淆了ret2syscall和ret2shellcode的区别。ret2shellcode是将控制流转向注入的shellcode，而ret2syscall是构造系统调用。不过根据引用中的分类，ret2syscall是独立的一种方法。 现在需要组织这些信息，分点说明两者的区别，包括原理、适用场景、利用条件以及示例。同时，根据用户提供的引用，引用3和4中的ret2libc例子可以引用作为说明，而ret2syscall可能没有直接引用，但可以结合知识进行解释。 最后，生成相关问题，可能涉及如何构造payload、如何寻找gadgets、防御措施等。确保问题与主题相关，并帮助用户进一步学习。</think>### ret2libc与ret2syscall的区别及用法比较 #### 1. **原理差异** - **ret2libc**：通过劫持程序执行流，跳转到动态链接库（如`libc.so`）中的函数（如`system`）执行。例如，构造栈帧调用`system("/bin/sh")`获取shell[^3][^4]。 - **ret2syscall**：直接触发系统调用（如`execve`），通过汇编指令（如`int 0x80`或`syscall`）实现，需控制寄存器传递参数（如`eax`存储系统调用号，`ebx`、`ecx`等存储参数）[^2]。 #### 2. **适用场景** - **ret2libc**： - 当程序开启**NX保护**（禁止执行栈上的代码）时，无法注入shellcode。 - 需要利用程序中已有的`libc`函数地址或通过泄漏`libc`基址计算目标函数地址。 - **ret2syscall**： - 当程序中存在可用的**gadget链**（如`pop eax; ret`）时。 - 需要直接调用系统调用且无需依赖`libc`函数（如绕过ASLR对`libc`的影响）。 #### 3. **利用条件对比** | 条件 | ret2libc | ret2syscall | |---------------------|-----------------------------------|----------------------------------| | **依赖库函数** | 是（如`system`、`execve`） | 否（直接调用内核接口） | | **寄存器控制** | 仅需传递参数地址（如`/bin/sh`） | 需设置多个寄存器（系统调用号+参数）| | **对抗NX保护** | 有效（不执行栈代码） | 有效 | | **对抗ASLR** | 需泄漏`libc`基址 | 可能无需泄漏（若gadget地址固定） | #### 4. **示例对比** - **ret2libc示例**（调用`system("/bin/sh")`）： ```python # 构造栈帧：[溢出填充] + [system地址] + [返回地址] + [参数地址] payload = flat(['a' * 112, system_adr, 'b' * 4, binsh_adr]) ``` - **ret2syscall示例**（触发`execve("/bin/sh", 0, 0)`）： ```python # 需构造gadget链设置eax=11（execve系统调用号），ebx指向"/bin/sh"，ecx=0, edx=0 gadgets = [pop_eax_ret, 11, pop_ebx_ret, binsh_addr, pop_ecx_edx_ret, 0, 0, int_0x80] payload = flat(['a' * offset] + gadgets) ``` #### 5. **防御措施** - **ret2libc**：启用**ASLR**随机化`libc`基址；限制函数指针修改。 - **ret2syscall**：部署**Control Flow Integrity (CFI)** 阻止非法ROP链；减少可用gadget数量。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值