ROP (Return-Oriented Programming) 基础教学文档

1. ROP概述

ROP (Return-Oriented Programming) 即返回导向编程，是一种高级的内存攻击技术，广泛应用于CTF比赛和真实世界的漏洞利用中。它通过复用程序中已有的代码片段（称为"gadget"）来构造攻击链，绕过现代操作系统中的安全防护机制。

2. ROP基本原理

2.1 核心思想

• 利用程序中的现有代码片段（gadgets）
• 通过控制返回地址(ret)来串联这些代码片段
• 每个gadget以ret指令结尾，形成"链式"执行

2.2 与传统栈溢出的区别

• 传统栈溢出：直接执行shellcode
• ROP：不注入新代码，重用已有代码

3. 基本ROP技术

3.1 ret2text

• 最简单ROP形式
• 返回到程序中已有的函数（如system()）
• 需要知道目标函数地址

3.2 ret2shellcode

• 在栈上布置shellcode
• 将返回地址覆盖为shellcode地址
• 现代系统通常有NX保护，此方法受限

3.3 ret2syscall

• 通过系统调用实现攻击
• 需要控制寄存器设置系统调用参数
• 常见于32位系统

3.4 ret2libc

• 返回到libc库中的函数
• 需要知道libc基地址
• 常用于执行system("/bin/sh")

4. 关键概念与技术

4.1 Gadget

• 以ret结尾的短指令序列
• 常见有用gadget：
  • pop reg; ret
  • mov reg, [reg]; ret
  • add reg, val; ret

4.2 栈布局

• 精心构造的栈帧：

  | gadget1_addr |
  | gadget1_arg1 |
  | gadget2_addr |
  | gadget2_arg1 |
  | ...         |
  

4.3 内存泄露

• 获取关键地址信息的技术
• 常用方法：
  • 格式化字符串漏洞
  • 信息泄露漏洞
  • 程序输出函数(puts, write等)

4.4 PLT & GOT

• PLT (Procedure Linkage Table): 跳转表
• GOT (Global Offset Table): 地址表
• 利用延迟绑定机制获取函数地址

5. 防御机制与绕过方法

5.1 NX/DEP

• 防御：阻止数据段执行代码
• 绕过：使用ROP不执行shellcode

5.2 ASLR

• 防御：随机化内存布局
• 绕过：
  • 信息泄露获取地址
  • 爆破部分地址
  • 利用未随机化部分

5.3 Stack Canary

• 防御：检测栈溢出
• 绕过：
  • 信息泄露获取canary值
  • 覆盖非栈数据
  • 跳过程序中canary检查点

5.4 RELRO

• Full RELRO: 防止GOT覆写
• Partial RELRO: 有限保护

6. 实用工具

6.1 ROPgadget

ROPgadget --binary <binary> [--ropchain]

6.2 pwntools

from pwn import *

# 查找gadget
elf = ELF('./binary')
rop = ROP(elf)
rop.raw(0xdeadbeef)  # 添加原始地址
rop.call('system', ['/bin/sh'])

6.3 one_gadget

• 查找libc中的execve('/bin/sh')单gadget

7. 典型攻击流程

1. 确定漏洞点（栈溢出、堆溢出等）
2. 泄露关键地址（libc基址、栈地址等）
3. 计算所需函数/数据地址
4. 构造ROP链
5. 触发漏洞执行ROP链

8. 实例分析

8.1 32位系统ROP

# 典型32位ROP链构造
payload = flat([
    'A'*offset,        # 填充到返回地址
    system_addr,        # system()地址
    ret_addr,           # system()返回地址
    binsh_addr          # "/bin/sh"字符串地址
])

8.2 64位系统ROP

# 64位需要寄存器传参
pop_rdi = 0x4007c3     # pop rdi; ret
payload = flat([
    'A'*offset,
    pop_rdi,
    binsh_addr,
    system_addr
])

9. 高级ROP技术

9.1 SROP (Sigreturn ROP)

• 利用sigreturn系统调用
• 可完全控制寄存器状态

9.2 JOP (Jump-Oriented Programming)

• 使用jmp指令而非ret
• 适用于没有ret指令的环境

9.3 BROP (Blind ROP)

• 无二进制文件情况下的ROP
• 通过响应判断gadget有效性

10. 练习建议

1. 从简单ret2text开始
2. 逐步增加难度（ret2libc、内存泄露等）
3. 尝试不同保护机制组合下的绕过
4. 32位和64位环境都要练习
5. 分析真实漏洞中的ROP利用

11. 参考资料

• 《Hacking: The Art of Exploitation》
• 《Advanced Exploitation Techniques》
• ROP Emporium挑战系列
• Phrack杂志相关论文