这里继续参考郑敏老师的文章： 《一步一步学ROP之linux_x86篇》

前面level1关闭了所有的保护机制，今天给大家带来的是通过ret2libc技术来绕过DEP(NX)保护，编译选项依然关闭栈保护(-fno-stack-protector)和地址随机化；

编译如下（移除了-z execstack选项）：

gcc -m32 -fno-stack-protector -o level2 level2.c

关闭aslr地址随机化的方法和level1一致

gdb使用peda插件的vmmap命令查看maps的属性。

level1各个map属性如下

level2各个map属性如下

可以看到level2的栈是没有可执行属性的。如果将shellcode部署在buf（栈内存）上，当函数返回时去栈内执行shellcode是会出错的。

既然栈没了可执行的属性，再在栈上部署shellcode的方式已经不可行了，但是经过前人的研究发现了ret2libc这种技术。

ret2libc从词面意思可以看出通过控制ret（返回地址）去libc执行代码，因为libc作为一个库是有可执行属性的。在libc中执行代码是可行的。

并且libc中有我们想要的system函数和"/bin/sh"字符串。

我们要组装system("/bin/sh")的栈布局。

在函数system被执行时，我们要在栈上部署好字符串"/bin/sh"的地址。

部分栈内存布局如下

|system_addr(4字节) |nop(4字节)|"/bin/sh"字符串地址(4字节)|

这样当system执行时它会去栈上找到命令行。

通过命令行 print system 或者 p system 可以打印出system函数的地址

system = 0xf7c48170

以下是libc的map情况

libc起始地址 0xf7c00000 ，结束地址 0xf7e2b000

通过peda 命令 find "/bin/sh" 0xf7c00000 0xf7e2b000

binsh = 0xf7dbd0f5

如何确认ret的offset，请参考上一篇文章。

|140 * 'A'|system_addr(4字节) |nop(4字节)|"/bin/sh"字符串地址(4字节)|

bingo

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课