前言

本帖記錄一些常用的,效果好的 rop gadgets.

uClibc

從棧中設置$t9 並跳到 $t9 的gadgets , __thread_start 函數第二行

使用 案例

使用tips:

• 調用函數時，進入函數內部時要求 $t9 指向函數的起始地址。

lw      $t9, arg_0($sp)
jalr    $t9

四個組合使用，調用棧中 shellcode 的 rop_gadget , 需要可以控制 $s1,

詳細分析在這裏

rop_gadget 1, 設置 參數一 為 1，位於 __uClibc_main ,可以使用 mipsrop.find("li $a0, 1") 查找

    LOAD:00055C60                 li      $a0, 1
    LOAD:00055C64                 move    $t9, $s1
    LOAD:00055C68                 jalr    $t9 ; sub_55960
    LOAD:00055C5C                 lui     $s0, 2

rop_gadget 2，從棧中設置寄存器，使用 mipsrop.tail() 查找

    LOAD:0001E20C                 move    $t9, $s1
    LOAD:0001E210                 lw      $ra, 0x28+var_4($sp)
    LOAD:0001E214                 lw      $s2, 0x28+var_8($sp)
    LOAD:0001E218                 lw      $s1, 0x28+var_C($sp)
    LOAD:0001E21C                 lw      $s0, 0x28+var_10($sp)
    LOAD:0001E220                 jr      $t9
    LOAD:0001E224                 addiu   $sp, 0x28
 

rop_gadget 3，獲取棧地址，使用 mipsrop.stackfinder() 查找

    LOAD:000164C0                 addiu   $s2, $sp, 0x198+var_180
    LOAD:000164C4                 move    $a2, $v1
    LOAD:000164C8                 move    $t9, $s0
    LOAD:000164CC                 jalr    $t9 ; mempcpy
    LOAD:000164D0                 move    $a0, $s2
 

rop_gadget 4，通過 $t9, 跳轉到 $s2，使用 mipsrop.find("move $t9, $s2") 查找, 位於 readdir

    LOAD:000118A4                 move    $t9, $s2
    LOAD:000118A8                 jalr    $t9

從棧中取數據到寄存器, opendir 函數尾部

.text:0000AA6C                 lw      $ra, 0xC0+var_4($sp)
.text:0000AA70                 lw      $s2, 0xC0+var_8($sp)
.text:0000AA74                 lw      $s1, 0xC0+var_C($sp)
.text:0000AA78                 lw      $s0, 0xC0+var_10($sp)
.text:0000AA7C                 jr      $ra
.text:0000AA80                 addiu   $sp, 0xC0
.text:0000AA80  # End of function opendir

從棧中設置基本上所有的重要寄存器，位於 scandir 或者 scandir64尾部

LOAD:00011BB0                 lw      $ra, 0x40+var_4($sp)
LOAD:00011BB4                 lw      $fp, 0x40+var_8($sp)
LOAD:00011BB8                 lw      $s7, 0x40+var_C($sp)
LOAD:00011BBC                 lw      $s6, 0x40+var_10($sp)
LOAD:00011BC0                 lw      $s5, 0x40+var_14($sp)
LOAD:00011BC4                 lw      $s4, 0x40+var_18($sp)
LOAD:00011BC8                 lw      $s3, 0x40+var_1C($sp)
LOAD:00011BCC                 lw      $s2, 0x40+var_20($sp)
LOAD:00011BD0                 lw      $s1, 0x40+var_24($sp)
LOAD:00011BD4                 lw      $s0, 0x40+var_28($sp)
LOAD:00011BD8                 jr      $ra
LOAD:00011BDC                 addiu   $sp, 0x40
LOAD:00011BDC  # End of function scandir

MIPS rop gadgets記錄貼&&持續更新