搜索

[11853] 2017-10-03_如何在32位系统中使用ROP+Return-to-dl来绕过ASLR+DEP

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-10-03_如何在32位系统中使用ROP+Return-to-dl来绕过ASLR+DEP 如 何 在 3 2 位 系 统 中 使 用 R O P + R e t u r n - t o - d l 来 绕 过 A S L R + D E P p w d m e   F r e e B u f   2 0 1 7 - 1 0 - 0 3 传 统 的 利 用 传 统 的 利 用 来 绕 过 来 绕 过 的 技 术 需 要 知 道 库 中 函 数 的 偏 移 地 址 ， 而 在 没 有 的 技 术 需 要 知 道 库 中 函 数 的 偏 移 地 址 ， 而 在 没 有 l i b c 库 的 库 的 情 况 下 可 以 使 用 情 况 下 可 以 使 用 技 术 来 达 到 动 态 获 得 库 函 数 地 址 的 目 的 ， 关 于 技 术 来 达 到 动 态 获 得 库 函 数 地 址 的 目 的 ， 关 于 的 技 术 细 的 技 术 细 节 请 节 请 点 击 阅 读 原 文 了 解 详 情 点 击 阅 读 原 文 了 解 详 情 。 。 E n v i r o n m e n t V u l n e r a b l e   c o d e 编 译 程 序 并 且 打 开 系 统 的 : 程 序 是 一 个 简 单 的 缓 冲 区 溢 出 ， 可 以 覆 盖 返 回 地 址 ， 在 的 保 护 下 ， 我 们 可 以 使 用 技 术 来 执 行 代 码 ， 为 了 绕 过 ， 这 里 使 用 了 技 术 。 r e t u r n - t o - p l t c a l l   w r i t e @ p l t 调 用 的 代 码 如 下 : r e t u r n - t o - p l t + R O P A S L R   +   D E P R e t u r n - t o - d l - r e s o l v e d l - r e s o l v e A S L R D E P R O P A S L R r e t u r n - t o - p l t w r i t e @ p l t
函 数 的 其 实 地 址 可 以 用 读 出 : 栈 的 布 局 如 下 : p l t o b j d u m p   - d   - j . p l t   b o f
运 行 : 看 到 被 成 功 调 用 打 出 了 我 们 想 要 的 字 符 串 。 R e l o c a t i o n   d i r e c t l y 接 下 来 改 一 下 ， 将 直 接 调 用 改 为 将 放 在 栈 中 ， 直 接 跳 到 执 行 : w r i t e @ p l t R O P w r i t e @ p l t r e l o c _ o f f s e t 0 x 8 0 4 8 3 0 0
看 到 的 为 ， 修 改 代 码 为 : 运 行 : M a k e   f a k e   E l f 3 2 _ R e l   s t r u c t u r e 接 下 来 要 建 立 假 的 结 构 体 ， 原 来 第 一 个 结 构 体 的 位 置 为 : 这 里 我 们 可 插 入 一 个 非 常 大 的 ， 把 结 构 体 位 置 定 位 到 我 们 可 以 控 制 的 区 域 ， 选 择 区 域 为 ， ， 在 指 定 区 域 插 入 伪 造 的 结 构 体 ， 先 看 看 原 来 的 的 结 构 体 : 构 造 为 : 后 半 段 改 为 : w r i t e @ p l t r e l o c _ o f f s e t 0 x 1 8 E l f 3 2 _ R e l r e l o c _ o f f s e t b a s e _ s t a g e + 2 8 r e l o c _ o f f s e t   =   ( b a s e _ s t a g e + 2 8 )   -   a d d r _ r e l p l t w r i t e
这 样 同 样 能 调 用 : M a k e   f a k e   E l f 3 2 _ S y m   s t r u c t u r e 我 们 知 道 在 找 到 结 构 体 后 ， 会 通 过 得 到 结 构 体 的 位 置 的 ， 所 以 在 ， 也 就 是 : 我 们 可 以 把 结 构 体 放 在 处 ， 原 结 构 体 为 : 所 以 构 造 为 : w r i t e E l f 3 2 _ R e l r _ i n f o   > >   8 E l f 3 2 _ S y m w r i t e r _ i n f o   > >   8   =   4 S Y M T A B [ 4 ] 0 x 8 0 4 8 1 c c   +   6 4 b a s e _ s t a g e   +   3 6
还 要 修 改 结 构 体 中 的 ， 保 证 : 所 以 需 要 加 ， 使 得 为 的 倍 数 ， 计 算 得 到 这 里 正 好 符 合 的 要 求 ， 可 以 不 需 要 ， 修 改 后 为 : 结 果 一 样 : M a k e   f a k e   s t r i n g   t a b l e 我 们 知 道 结 构 体 第 一 项 是 函 数 名 称 字 符 串 在 中 的 偏 移 : 只 需 要 修 改 字 段 ， 直 接 在 结 构 体 后 加 字 符 串 即 可 : 结 果 : E l f 3 2 _ R e l r _ i n f o b a s e _ s t a g e   +   3 6 p a d d i n g 0 x 1 0 p a d d i n g p a d d i n g E l f 3 2 _ S y m S T R T A B s t _ n a m e E l f 3 2 _ S y m
G e t   s h e l l 只 要 把 改 为 ， 然 后 修 改 对 应 的 参 数 就 可 以 了 ， 完 整 的 脚 本 : w r i t e x 0 0 s y s t e m x 0 0
运 行 : 这 样 就 在 不 知 道 库 中 函 数 偏 移 的 情 况 下 调 用 了 。 参 考 来 源 ：   R O P   s t a g e r   +   R e t u r n - t o - d l - r e s o l v e に よ る A S L R + D E P 回 避 * 本 文 作 者 ： p w d m e ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文 s y s t e m
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理