当ASLR（地址空间布局随机化 Address Space Layout Randomization）机制关闭时，程序每次运行时的内存布局都是相同的，当该机制处于打开状态时，程序每次运行时的内存布局都会发生变化。

在之前的PWN过程中，ASLR机制都是关闭的，并且在exploit一定会设置绝对内存地址，此时完成PWN是在假定知道内存布局的情况下完成的。

下面以栈所在内存空间为例，展示了ASLR开启后的内存布局变化。

程序加载到内存中的内存布局是由操作系统决定的，通过上面的ASLR开关方式也可以知道，用户空间可以借助内核提供的proc虚文件对ASLR进行控制。

Linux中秉承着一切皆文件的理念，考虑到文件系统类型的多样性，为了避免用户空间程序操作文件时仍需要考虑不同文件系统带来的差异问题，Linux提供了一个统一的接口供用户空间使用，它就是VFS（虚拟文件系统 Virtual File System）。

VFS为了支持各种文件系统，它定义一套所有文件系统都支持的接口和数据结构，用于支持各类文件系统和VFS协同工作。

Linux内文件系统需要设置file_system_type信息，然后将设置好的信息提交给register_filesystem函数进行注册，只有完成注册的文件系统才能被VFS操控。

file_system_type本身定义是非常简单的，主要就是定义获取和删除super_block的接口及属性信息，不同文件系统间的file_system_type之间通过链接进行管理。

话又说回来，super_block是个什么东西呢？

super_block是一个更加复杂的结构体，它定义了文件系统的具体信息和对应文件系统的操作接口，是实际管理文件系统的数据结构。

下面展示了proc文件系统是如何进行注册的。

proc是进程文件系统，属于Linux中伪文件系统的一种，它没有对应真实的磁盘或硬盘，而是提供给用户空间便利的使用Linux系统资源的接口。常见的伪文件系统有proc、sys、dev等等。通过proc可以方便的查看进程信息，比如进程的内存布局、CPU信息等等。

进行Linux驱动开发时，可以借助proc_ops结构体、proc_create接口、proc_remove接口对proc进行创建和控制。

proc_ops结构体中有两个较为重要的成员，即proc_read和proc_write，它们分别会响应虚文件被用户空间读写时的操作。下面给出了创建proc虚文件的示例代码。

通过读写虚文件，可以在dmesg中看到相关的打印信息。

proc除了支持访问进程信息外，它还支持在Linux内核运行时对内核参数进行修改，该机制也被称作sysctl。

/proc/sys/kernel/中的虚文件会通过kern_table进行定义，每个模块都会定义一个处理函数和数据对象，处理函数会负责处理虚文件被读写时进行的操作，而数据对象则是被操作的数值。randomize_va_space指定的处理函数是proc_dointvec，其作用是读取整数值或写入整数值，待处理的数据对象是randomize_va_space，它是一个整型的全局变量。

当向/proc/sys/kernel/randomize_va_space写入数值时，randomize_va_space变量的数值就会被proc_dointvec函数更改。

当程序启动时，负责加载ELF文件的load_elf_binary函数会根据randomize_va_space变量设置标志位，当标志位完成设置后，才会正式开始BRK、MMAP、堆、栈、动态链接库、vDSO的地址随机化，随机化的主要操作就是根据随机值对地址进行偏移。

static int load_elf_binary(struct linux_binprm *bprm)
{
......
if (!(current->personality & ADDR_NO_RANDOMIZE) && randomize_va_space)
current->flags |= PF_RANDOMIZE;

#ifdef compat_brk_randomized
current->brk_randomized = 1;
#endif
}
......
}

内核会通过arch_pick_mmap_layout函数对MMAP进行随机化，当检测到标志位开启时，就会提供随机值给MMAP，否则则会提供0，MMAP会根据该数值对地址空间进行设置。

load_elf_binary函数会先通过setup_arg_pages函数设置栈空间。栈空间的偏移值由randomize_stack_top的结果决定，当标志位中存在PF_RANDOMIZE时，randomize_stack_top将地址根据随机值进行偏移，否则就不会进行偏移。

一般来讲，栈是向下增长的，如果支持栈向上增长，那么可以通过CONFIG_STACK_GROWSUP对内核进行配置。处理栈空间的地址时，如果不使用CONFIG_STACK_GROWSUP功能，那么栈顶地址会通过arch_align_stack再次进行偏移，然后将低4比特设置为0，进行对齐。

动态申请时，可以通过brk或mmap向系统请求内存资源，当请求的内存小于128kb时会通过brk进行分配，当randomize_va_space变量值为2时，load_elf_binary函数会额外对brk地址进行偏移，偏移所需的随机值通过(get_random_long() % range << PAGE_SHIFT)获取。

当load_elf_binary函数处理动态链接库时，它会根据标志位决定是否给动态链接库的加载地址设置偏移值，偏移值的数值由arch_rnd获取。

上面已经描述了需要随机化的地址空间（BRK、堆、栈、MMAP、动态链接库、vDSO）是如何及何时进行随机化的，由于随机化的操作是程序运行开始阶段处理的，所以随机化选项的变更并不会影响已经运行的程序。

尽管不同地址空间的随机化方式都是根据随机值进行偏移，但是也可以明显的看到，不同地址空间随机化取值的方式总体上是类似的，先是通过get_random_long函数获取随机值，然后根据某数值进行运算，最后根据页偏移进行对齐。

下面对为什么使用不同数值计算的原因进行了解释。

mmap、动态链接库的解释

作用：将随机值跟页大小对齐（4kb，0x1000）；1向右移动32位比特，减1后变为32位比特空间内的最大值，特点是所有比特位全为1，当随机值和它进行与运算后，随机值会被保留下来，最后根据页大小向右移动12位，跟页大小对齐。由于运算时比特位自动扩充的原因，((1UL << rndbits) - 1)可以保障数值占用的比特位数量在32内，在64位系统中，用户空间一般会占用48位空间，考虑到高4位会被用于区分不同的ELF文件（比如动态链接库一般是0x7xxx打头，执行文件一般0x5xxx、0x6xxx打头等等），所以系统会对低48位（32位随机值+12位页对齐值）进行设置，并不会触及高4个比特位。

栈的解释：

作用：设置随机值后跟页大小对齐（4kb，0x1000）；原数值和0x3fffff与运算时，只有低22个比特位会被保留下来，当跟页大小对齐后，数值大小会被扩充到34个比特位，在Linux当中，栈地址会以0x7ffx打头，占用14个比特位，所以会对低34个比特位设置。

brk的解释：

作用：将随机值和range进行取余运算，保障随机值不会超出range的范围，最后根据页大小进行对齐。

显然，当越多的比特位参与随机化时，也代表着随机值越难被暴力破解。

下面会以程序中存在泄露地址的情况为前提进行讨论。

即使开启了ASLR，导致程序使用的内存地址在不断的变化，但是变化的只是基地址，程序内容的地址仍然靠基地址加文件内偏移的组合进行定位，因此程序同一元素即使每次每次运行时的地址都不一样，但它减去起始地址的偏移值永远都是固定的。

当我们可以稳定泄露程序内某元素的地址时，就可以先借助起始地址手工计算偏移值，等到下次运行时，就可以直接通过元素的随机地址减偏移值得到随机的起始地址（比如可泄露元素的地址是LibC中，那么就相当于稳定获取LibC的基地址，进而对整个LibC进行利用）。

下面会对二进制文件的反汇编结果进行解析。

通过上面的分析可以知道，leak_func函数会从输入读取内容，然后交给printf进行打印，而read_func函数则会从输入读取内容给缓冲区变量。

leak_func函数和read_func函数显然给我们提供注入shellcode的机会，但由于现在安卓机制开的比较全，特别是ASLR的存在，使得我们需要先将LibC的基地址泄露出来。

leak_func函数非常宽容的将格式化字符串的定义权交给输入端，对于输入端而言，者是不是利用机会呢？

下面会先对格式化字符串漏洞进行介绍。

C语言中函数形参不止可以固定数量，也支持变化的形参数量，可变参数要求函数至少指定一个参数。

C语言最为常见的使用可变参数的函数就是printf打印函数，它会接收格式化字符串作为固定参数，然后将格式化字符串与可变参数进行组合，最后将结果输出到标准输出stdout中。

stdin、stdout、stderr属于标准输入输出，其中stdin的作用是响应键盘的输入，stdout、stderr将内容输出到屏幕，即它们对于Linux而言是外部设备，在秉承一切皆文件原则的Linux中，它们作为设备文件存在于dev目录下。

stdout和stderr的区别在于缓冲区，stdout只有当缓冲区满了及遇到换行符的情况下才会输出信息，而stderr则是直接输出。

对于已经打开的文件，Linux会给它们分配文件描述符，进程可以通过文件描述符对文件进行操作。stdin、stdout、stderr对于的文件描述符分别是0、1、2。

比如某个程序当中含有大量的printf函数，而你有时候不需要打印，更不需要将打印输出到屏幕上，那么就可以在函数的开头通过stdout的文件描述符1将stdout关闭（close(1)），那么就不会再看到输出了。

格式化字符串由普通字符和转换字符序列组成，普通字符会按原状进行输出，转换字符序列则会根据转换规则进行转换，然后将转换结果进行输出。在转换字符序列中转换指示符%是必备的，它标志着转换字符序列的开始，除此之外C语言还支持在转换指示符后添加扩展指示符，用于进一步指示参数的输出形式。

当格式化字符串中存在转换字符序列时，函数就需要根据调用协议从寄存器和栈上取出参数。根据转换字符序列转换，结果的来源可以分成根据参数位置上的数值进行转换和根据参数位置上数值指向的内存区域内的数值进行转换两类。

根据参数位置上的数值进行转换时，往往问题不会太大，最多是就是转换后
的结果看起来畸形，但是根据参数位置上数值指向的内存区域内的数值进行转换时，问题就很可能出现，比如因为参数位置上数值未必对应正确的内存地址，直接使用会导致错误发生。

当格式化字符串可以被自定定义时，就可以构造转换字符序列，从寄存器和栈中读取数据。比如构造格式化字符串为"%llx.%llx.......%llx.%llx"时，就可以直接暴露信息，下面给出了示例。

如果构造%llx的数量足够打印完寄存器和构造的格式化字符串，那么printf函数还会继续打印金丝雀、返回地址等等，这些数据的泄露，是我们所期望的。

当构造大量的%llx时，还需要考虑变量的缓冲区是否可以容纳它们，如果缓冲区变量的空间有些小，不足够泄露金丝雀和所需内存地址时，岂不是无法对漏洞进行利用？

在扩展指示符中有一个特殊的存在，即?$，当该扩展指示符添加时，就会打印第?个参数，那么这个时候就不需要构造大量%llx对栈上信息进行泄露了。

目前的信息泄露已经可以指定任意位置了，那么位置上的数据从哪里来呢？

上面已经说明过，前六个是不太好控制的寄存器数据，中间一部分是格式化字符串的数据，后面又是不太好控制的栈数据。幸运的是，在泄露的区域内，存在一段可以很方便控制的区域，如果在这段区域内填充一个地址，然后利用扩展指示符?$读取指定位置的地址，就可以实现任意地址的读取。

转换指示符中有一个特殊的存在，它不会指示数据的输出格式，而是会将当前成功写入的字符数量存储到某变量内，它提供了篡改数据的机会，该转换指示符就是%n。

我们知道，一个内存地址的数字往往是非常大的，为了让数据被篡改为内存地址，就需要输出足够多的字符，好在转换指示符前允许添加数字x，指示输出x个字符，那么这样就不需要构造很多字符了。当然如果不希望单次写入大小过多，也可以对数据进行拆分，然后通过宽度的扩展指示符逐部分进行写入。

由于格式化字符串中转换指示符和扩展指示符的特性，使得可以对任意地址进行读取和写入。

从上面可以知道格式化字符串是可以将任意地址上的数据泄露出来的，那么此时leak_func函数和read_func函数会分别用于泄露LibC地址、金丝雀及注入shellcode。

泄露LibC地址和金丝雀的格式化字符串应该如何构造呢？

这其实是相对明确的，即通过$x指定金丝雀和LibC元素所在的位置。金丝雀会给read_func函数准备的（注入shellcode，期间需要填充正确的shellcode），但此时金丝雀的读取不是read_func函数内部，它们的数值会一样吗？

在前一篇PWN入门-3-金丝雀风波中说过，不同线程的金丝雀值会保存在对于的task_struct中，因此同线程中所有函数使用的金丝雀值都是一样的，只有所属线程不同时，金丝雀值才会有差异。

上面已经观察过，在printf函数中，格式化字符串取第6个后的参数时会从rbp+0x10的位置开始读取（rbp和rbp+0x8间用于存放返回地址和栈底指针）。

我们知道不同函数间的栈空间地址是连续的，rbp+0x10已经是leak_func函数的栈空间了，该函数内部分配0x40的空间，其中0x8是给金丝雀的，所以金丝雀的偏移值为0x38，中间相当于隔着7个参数，算上寄存器保存的6个参数，它是第13个参数，在格式化字符串中通过13$llx就可以将它读取出来。

一个程序即使占用的空间不多，当想要从中找出指定的16字节数据也不是间容易的事情，参数的读取是从栈上来，这样一看好像就更不容易找到一个跟LibC相关的地址了。

好在main函数需要由LibC进行调用，因此main函数中rbp+0x8的位置一定是存储着返回LibC的基地址。

顺着前面金丝雀的读取，考虑到main函数中并没有分配栈空间，所以leak_func函数金丝雀上方就只有main函数栈底指针、main函数返回地址、__libc_start_call_main的栈底指针，__libc_start_call_main的返回地址四个参数，那么要获取LibC元素的地址就是第17个参数（13+3）。

获取到LibC中元素的地址后，因为偏移值是固定的，所以不管地址如何随机化，都可以相对关系找到LibC的基地址。

在二进制文件中__libc_start_call_main函数对应的是__libc_init_first，它会在0x25c86处调用main函数，执行后程序指针会执行下条指令，因此0x25c88就是上面获取到的LibC元素的偏移值，元素地址减去元素偏移值就是LibC的基地址。

Ret2LibC的构造已经是老生常谈了，在前面文章中已经介绍过，这里就不再过多介绍了。下面会先构造格式化字符串泄露数据，然后再向栈上注入shellcode，返回LibC中的system函数，最终成功调用shell。

构造好的explout如下所示。

完成exploit的构建并运行后，就可以成功获取shell了。

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)