ROP与SROP技术在Linux Pwn中的应用分析<\/h1>

一、ROP技术基础<\/h2>

1.1 ROP保护机制RELRO详解<\/h3>

RELRO（Relocation Read-Only）重定位段只读保护分为三个等级：<\/p>

NO RELRO<\/strong>：<\/p>

保护未开启状态<\/li>
所有重定位段均可写，包括.dynamic、.got、.got.plt<\/li> <\/ul>
Partial RELRO<\/strong>：<\/p>

GCC编译的默认配置<\/li>
.dynamic、.got被标记为只读<\/li>
强制将ELF内部数据段.got、.got.plt放到外部数据段.data、.bss之前<\/li>
防止程序数据段溢出改变内部数据段的值<\/li>
.got.plt仍然可写，可改写GOT表劫持控制流<\/li> <\/ul>
Full RELRO<\/strong>：<\/p>

继承Partial RELRO的所有保护<\/li>
.got.plt也被标记为只读<\/li>
延迟绑定技术被禁止<\/li>
所有外部函数地址在程序装载时解析、装入并标记为只读<\/li>
GOT表中link_map和dl_runtime_resolve项置为0<\/li> <\/ul>
1.2 特殊参数利用技巧<\/h3>
在Unix\/Linux系统中，除了常见的sh<\/code>参数外，还存在其他可达到RCE效果的参数：<\/p>
# 示例：利用$0获取shell<\/span> <\/span><\/span># 当sh参数被过滤时，可以使用$0作为替代方案<\/span> <\/span><\/span>payload =<\/span> b<\/span>'<\/span>\x24\x30<\/span>'<\/span> # '$0'的小端序表示<\/span> <\/span><\/span><\/code><\/pre>1.3 端序处理与内存布局<\/h3> 小端序处理<\/strong>：<\/p> # 内存中的写入效果：\x24\x30\x00\x73\x91<\/span> <\/span><\/span># 在gdb中呈现：0x4049d0 ◂◂— 0x9173003024 \/* '$0' *\/<\/span> <\/span><\/span># 使用pwntools打包：<\/span> <\/span><\/span>p8(0x24<\/span>) +<\/span> p8(0x30<\/span>) +<\/span> p8(0x00<\/span>) +<\/span> p8(0x73<\/span>) +<\/span> p8(0x91<\/span>) <\/span><\/span><\/code><\/pre>二、SROP技术深入分析<\/h2> 2.1 32位SROP技术<\/h3> 信号帧结构特点<\/strong>：<\/p> sigreturn调用需要80字节（0x50）长度<\/li> 32位系统调用号较大<\/li> read函数有足够写入空间，利用read返回值无需提前布局<\/li> <\/ul> 32位寄存器控制<\/strong>：<\/p> 0x80497d8 <func+22> lea edx, [ebp - 0x12] ; EDX => 0x80ed9ee 0x80497db <func+25> push edx 0x80497dc <func+26> push 0 0x80497de <func+28> mov ebx, eax ; EBX => 0x26 0x80497e0 <func+30> call read <read> <\/code><\/pre> 利用要点<\/strong>：<\/p> 聚焦栈空间控制而非寄存器<\/li> 利用压栈操作控制参数<\/li> 当ebp地址已知时可实现精确控制<\/li> syscall调用需要0x54字节长度<\/li> <\/ul> 2.2 64位SROP技术<\/h3> 信号帧完整结构<\/strong>：<\/p> 0byte | 8byte syscall | uc_flags &uc | uc_stack.ss_sp uc_stack.ss_flags | uc_stack.ss_size r8 | r9 r10 | r11 r12 | r13 r14 | r15 rdi | rsi rbp | rbx rdx | rax rcx | rsp rip | eflags cs\/gs\/fs | err trapno | oldmask (unused) | cr2 (segfault addr) &fpstate | __reserved sigmask | <\/code><\/pre> 三、高级利用技术<\/h2> 3.1 libc劫持技术<\/h3> 环境配置<\/strong>：<\/p> # 安装glibc-all-in-one<\/span> <\/span><\/span># 安装patch工具<\/span> <\/span><\/span># 使用patchelf自动切换libc<\/span> <\/span><\/span>patchelf --set-interpreter \/path\/to\/ld .\/binary <\/span><\/span>patchelf --set-rpath \/path\/to\/libc .\/binary <\/span><\/span><\/code><\/pre>libc GOT表劫持<\/strong>：<\/p> 劫持libc函数内部的GOT表<\/li> 利用libc.so.6中函数实现，如puts调用j_strlen()<\/li> 跳转地址为libc.address + offset<\/li> 可修改为one-gadget或特定gadget<\/li> <\/ul> 多次劫持技术<\/strong>：<\/p> 第一次劫持：执行gadget设置one-gadget条件<\/li> 第二次劫持：执行one-gadget<\/li> 示例：mov rdx, r10（当r10为0时可设置rdx=0满足ogg条件）<\/li> <\/ul> 3.2 栈地址泄露技术<\/h3> 利用环境变量<\/strong>：<\/p> # Python实现栈地址泄露<\/span> <\/span><\/span>import<\/span> os <\/span><\/span># 通过环境变量布局获取栈地址信息<\/span> <\/span><\/span><\/code><\/pre>四、实战例题分析<\/h2> 4.1 例题一：only_read<\/h3> gadget查找与利用<\/strong>：<\/p> 0x0000000000401187 : add eax, 0x2ebb ; add dword ptr [rbp - 0x3d], ebx ; nop ; ret <\/code><\/pre> 栈帧布局<\/strong>：<\/p> open函数栈帧铺垫<\/li> read函数栈帧铺垫<\/li> write函数栈帧铺垫<\/li> <\/ul> 利用流程<\/strong>：<\/p> 全部数据写入<\/li> 通过leave_ret指令依次执行<\/li> 完整的exp编写<\/li> <\/ol> 4.2 例题二：强网杯stack<\/h3> 关键技术点<\/strong>：<\/p> 连续SROP技术应用<\/li> 信号帧的精确构造<\/li> 系统调用链的构建<\/li> <\/ul> 五、调试与问题解决<\/h2> 5.1 常见问题处理<\/h3> 段错误调试<\/strong>：<\/p> 检查内核架构设置<\/li> 验证信号帧结构完整性<\/li> 确认寄存器值正确性<\/li> <\/ul> IDA使用技巧<\/strong>：<\/p> 在options→general中开启16进制显示<\/li> 手动查找特定字节<\/li> 分析代码段布局<\/li> <\/ul> 5.2 脚本开发要点<\/h3> 字节查找脚本<\/strong>：<\/p> # 用于定位特定字节的脚本模板<\/span> <\/span><\/span># 支持小端序效果研究<\/span> <\/span><\/span># 内存映射关系分析<\/span> <\/span><\/span><\/code><\/pre>利用脚本结构<\/strong>：<\/p> 参数传递处理<\/li> 内存布局分析<\/li> 利用链构造<\/li> 调试信息输出<\/li> <\/ul> 六、技术发展趋势<\/h2> 6.1 防护绕过技术<\/h3> 针对Full RELRO的利用方法<\/li> libc段写入技术发展<\/li> 新型gadget发现技术<\/li> <\/ul> 6.2 自动化工具<\/h3> 利用链自动生成<\/li> 防护检测与绕过<\/li> 漏洞利用框架集成<\/li> <\/ul> 本教学文档涵盖了ROP和SROP技术的核心知识点，从基础概念到高级利用技术，包括32位和64位系统的差异处理，以及实际例题的详细分析。重点突出了信号帧构造、libc劫持、防护绕过等关键技术，为深入理解Linux Pwn技术提供了完整的知识体系。<\/p>