6.1.4 pwn BackdoorCTF2017 Fun-Signals
SROP 原理
Linux 系统调用
在开始这一切之前，我想先讲一下 Linux 的系统调用。64 位和 32 位的系统调用表分别在 /usr/include/asm/unistd_64.h 和 /usr/include/asm/unistd_32.h 中，另外还需要查看 /usr/include/bits/syscall.h。
一开始 Linux 是通过 int 0x80 中断的方式进入系统调用，它会先进行调用者特权级别的检查，然后进行压栈、跳转等操作，这无疑会浪费许多资源。从 Linux 2.6 开始，就出现了新的系统调用指令 sysenter/sysexit，前者用于从 Ring3 进入 Ring0，后者用于从 Ring0 返回 Ring3，它没有特权级别检查，也没有压栈的操作，所以执行速度更快。
signal 机制
如图所示，当有中断或异常产生时，内核会向某个进程发送一个 signal，该进程被挂起并进入内核（1），然后内核为该进程保存相应的上下文，然后跳转到之前注册好的 signal handler 中处理相应的 signal（2），当 signal handler 返回后（3），内核为该进程恢复之前保存的上下文，最终恢复进程的执行（4）。
一个 signal frame 被添加到栈，这个 frame 中包含了当前寄存器的值和一些 signal 信息。
一个新的返回地址被添加到栈顶，这个返回地址指向
sigreturn系统调用。signal handler 被调用，signal handler 的行为取决于收到什么 signal。
signal handler 执行完之后，如果程序没有终止，则返回地址用于执行
sigreturn系统调用。sigreturn利用 signal frame 恢复所有寄存器以回到之前的状态。最后，程序执行继续。
不同的架构会有不同的 signal frame，下面是 32 位结构，sigcontext 结构体会被 push 到栈中：
下面是 64 位，push 到栈中的其实是 ucontext_t 结构体：
就像下面这样：
SROP
SROP，即 Sigreturn Oriented Programming，正是利用了 Sigreturn 机制的弱点，来进行攻击。
首先系统在执行 sigreturn 系统调用的时候，不会对 signal 做检查，它不知道当前的这个 frame 是不是之前保存的那个 frame。由于 sigreturn 会从用户栈上恢复恢复所有寄存器的值，而用户栈是保存在用户进程的地址空间中的，是用户进程可读写的。如果攻击者可以控制了栈，也就控制了所有寄存器的值，而这一切只需要一个 gadget：syscall; ret;。
另外，这个 gadget 在一些系统上没有被内存随机化处理，所以可以在相同的位置上找到，参照下图：
通过设置 eax/rax 寄存器，可以利用 syscall 指令执行任意的系统调用，然后我们可以将 sigreturn 和 其他的系统调用串起来，形成一个链，从而达到任意代码执行的目的。下面是一个伪造 frame 的例子：
rax=59 是 execve 的系统调用号，参数 rdi 设置为字符串“/bin/sh”的地址，rip 指向系统调用 syscall，最后，将 rt_sigreturn 设置为 sigreturn 系统调用的地址。当 sigreturn 返回后，就会从这个伪造的 frame 中恢复寄存器，从而拿到 shell。
下面是一个更复杂的例子：
首先利用一个栈溢出漏洞，将返回地址覆盖为一个指向
sigreturngadget 的指针。如果只有syscall，则将 RAX 设置为 0xf，也是一样的。在栈上覆盖上 fake frame。其中：RSP：一个可写的内存地址RIP：syscall; ret;gadget 的地址RAX：read的系统调用号RDI：文件描述符，即从哪儿读入RSI：可写内存的地址，即写入到哪儿RDX：读入的字节数，这里是 306
sigreturngadget 执行完之后，因为设置了RIP，会再次执行syscall; ret;gadget。payload 的第二部分就是通过这里读入到文件描述符的。这一部分包含了 3 个syscall; ret;，fake frame 和其他的代码或数据。接收完数据或，
read函数返回，返回值即读入的字节数被放到RAX中。我们的可写内存被这些数据所覆盖，并且RSP指向了它的开头。然后syscall; ret;被执行，由于RAX的值为 306，即syncfs的系统调用号，该调用总是返回 0，而 0 又是read的调用号。再次执行
syscall; ret;，即read系统调用。这一次，读入的内容不重要，重要的是数量，让它等于 15，即sigreturn的调用号。执行第三个
syscall; ret;，即sigreturn系统调用。从第二个 fake frame 中恢复寄存器，这里是execve("/bin/sh", ...)。另外你还可以调用mprotect将某段数据变为可执行的。执行
execve，拿到 shell。
pwnlib.rop.srop
在 pwntools 中已经集成了 SROP 的利用工具，即 pwnlib.rop.srop，直接使用类 SigreturnFrame，我们来看一下它的构造：
总共有三种，结构和初始化的值会 有所不同：
i386 on i386：32 位系统上运行 32 位程序
i386 on amd64：64 位系统上运行 32 位程序
amd64 on amd64：64 为系统上运行 64 位程序
BackdoorCTF2017 Fun Signals
这是一个 64 位静态链接的 srop，可以说是什么都没开。。。
而且 flag 就在二进制文件里，只不过是在服务器上的那个里面，过程是完全一样的。
首先可以看到 _start 函数里有两个 syscall。第一个是 read(0, $rsp, 0x400)（调用号0x0），它从标准输入读取 0x400 个字节到 rsp 指向的地址处，也就是栈上。第二个是 sigreturn()（调用号0xf），它将从栈上读取 sigreturn frame。所以我们就可以伪造一个 frame。
那么怎样读取 flag 呢，需要一个 write(1, &flag, 50)，调用号为 0x1，而函数 syscall 正好为我们提供了 syscall 指令，构造 payload 如下：
如果连接的是远程服务器，fake_flag_here_as_original_is_at_server 会被替换成真正的 flag。
这一节我们详细介绍了 SROP 的原理，并展示了一个简单的例子，在后面的章节中，会展示其更复杂的运用，包扩结合 vDSO 的用法。
参考资料
Last updated
Was this helpful?