HC_PWN/ROP_Tricks/

[giscus[bot]]

HC_PWN/ROP_Tricks/

开源免费、新手友好的CTF(Capture The Flag,夺旗赛)入门教程

https://hello-ctf.com/HC_PWN/ROP_Tricks/

[RoninSeed]

师傅加油更新啊，写的不赖啊

[h4kuy4]

咕咕咕咕

[J-CLOWN-TAROT]

师傅写的好呀,有水平,多多更新,哈哈

[Meterspreter]

师傅写得好，想看见更多精彩的内容，加油！！！！

[MindednessKind]

师傅加油啊，PWN冲冲冲 OvO

[yunjiao20]

这里为比较新的情况下，题目的复现提供一些帮助

1

首先，同样是我上一篇提到的问题，函数read()不在较新版gcc的标准输入输出库stdio.h中，会导致以下报错：

a.c:9:5: warning: implicit declaration of function 'read'; did you mean 'fread'? [-Wimplicit-function-declaration]
9 |     read(0, str, 0x50);
  |     ^~~~
  |     fread

在比较新版的gcc中，read函数被移动到了库unistd.h中。在程序开头包括

#include <unistd.h>

可以解决这个问题

在一些比较老的教程中，可能会用存在栈溢出漏洞的函数get获取信息，而get因为它显而易见的可以造成栈溢出的危险性已被移除。你可以使用同样存在栈溢出漏洞的代码

char buf[10];
scanf("%s", &buf);

来替换它，利用方法和上面题目中的read以及get一样

编译题目时，因为写入的str只有0x20，read却读取了0x50的数据，显而易见的存在溢出，编译器会提出警告warning以提醒你。这一般不影响文件的编译，如果你的文件a.out编译出来了，就不必理会它

2

在你编译好后，使用ROPgadget查找跟rdi有关的gadget 时，可能会发现

┌──(pwntools)─(unknown㉿unknown)-[~/Desktop/pwn_area]
└─$ ROPgadget --binary ./a.out | grep 'rdi'
0x00000000004010a6 : or dword ptr [rdi + 0x404028], edi ; jmp rax
0x0000000000401118 : or ebp, dword ptr [rdi] ; add byte ptr [rax], al ; add dword ptr [rbp - 0x3d], ebx ; nop ; ret

在编译好的文件中，没有发现解题所必须的gadget：pop rdi ; ret
这是因为在较新版的GCC中，没有使用几次的pop rdi会被gcc编译器给优化掉，这会导致我们无法用上面的解决方法去解这个题目
为了保证pop rdi存在，使我们可以解出题目，我们可以手动添加它，添加代码：

void poprdi() {  __asm__("pop %rdi; ret");  }

AI也推荐了我其他方法，但此方法最可靠。这样你应该能成功编译可以利用的题目

┌──(pwntools)─(unknown㉿unknown)-[~/Desktop/pwn_area]
└─$ ROPgadget --binary ./a.out | grep ': pop rdi'
0x0000000000401150 : pop rdi ; ret

finally

对于刚刚入门的小白来说，我推荐你使用gdb等查看read获取输入前后的栈变化，使用python shell一步步地运行利用代码，以理解利用的步骤和方法
下面给出我修改后的完整题目

// gcc -no-pie -fno-stack-protector a.c 
// 不使用参数  -g  是因为我在学习PWN时为了从汇编层面理解题目，你可酌情添加
#include <stdio.h>
#include <unistd.h>    // 导入函数 read

char *str = "Hello, World!";

void func1() { puts("func1 called"); }    // 确保  pop rdi; ret  存在

void poprdi() {  __asm__("pop %rdi; ret");  }

int main() {
    char str[0x20];

    read(0, str, 0x50);

    return 0;
}

此方法在Kali GNU/Linux GCC 15.2.0和Ubuntu GNU/Linux GCC 13.3.0中试验可行

[yunjiao20]

勘误：
在以上finally的修改后题目中，把poprdi()的注释确保 pop rdi; ret 存在打在了函数func1()后面。而此功能应由函数poprdi()提供。
此处勘误是为了防止你因为错误的注释而认为是由func1提供的pop rdi，并不影响题目的编译