macos - 为什么系统调用不起作用？

Question

我在 MAC OSX 上，我试图通过汇编调用 execve 系统调用..他的操作码是 59 。在 linux 中，我必须将操作码设置为 eax，然后将参数设置为其他寄存器，但在这里我必须将操作码设置为 eax，并将参数从右到左压入堆栈。

所以我需要 execve("/bin/sh",NULL,NULL)，我在某处发现程序集 null=0，所以我将 null 放入第二个和第三个参数中。

global start 
section .text
start:
    jmp string
main: 
    ; 59 opcode
    ; int execve(char *fname, char **argp, char **envp);
    pop ebx             ;stringa
    push 0x0            ;3rd param
    push 0x0            ;2nd param
    push ebx            ;1st param
    add eax,0x3b        ;execve opcode
    int 0x80            ;interupt
    sub eax,0x3a        ; exit opcode
    int 0x80
string:
    call main
    db '/bin/sh',0

当我尝试执行它时说:错误的系统调用:12

Answer 1

如果您打算调用 int 0x80，BSD(OS/X 所基于的)上的 32 位程序要求您将额外的 4 个字节压入堆栈直接地。来自FreeBSD documentation你会发现这个:

By default, the FreeBSD kernel uses the C calling convention. Further, although the kernel is accessed using int 80h, it is assumed the program will call a function that issues int 80h, rather than issuing int 80h directly.

[snip]

But assembly language programmers like to shave off cycles. The above example requires a call/ret combination. We can eliminate it by pushing an extra dword:

open:
push    dword mode
push    dword flags
push    dword path
mov eax, 5
push    eax     ; Or any other dword
int 80h
add esp, byte 16

当调用 int 0x80 时，您需要将堆栈指针调整 4。压入任何值都可以实现这一点。在示例中，他们只是执行 push eax。在调用 int 0x80 之前将 4 个字节压入堆栈。

您的另一个问题是，例如 add eax,0x3b 要求 EAX 已经为零，但事实很可能并非如此。要解决此问题，请将 xor eax, eax 添加到代码中。

修复可能类似于:

global start
section .text
start:
    jmp string
main:
    ; 59 opcode
    ; int execve(char *fname, char **argp, char **envp);
    xor eax, eax        ;zero EAX
    pop ebx             ;stringa
    push 0x0            ;3rd param
    push 0x0            ;2nd param
    push ebx            ;1st param
    add eax,0x3b        ;execve opcode
    push eax            ;Push a 4 byte value after parameters per calling convention
    int 0x80            ;interupt
    sub eax,0x3a        ; exit opcode
    push eax            ;Push a 4 byte value after parameters per calling convention
                        ; in this case though it won't matter since the system call
                        ; won't be returning
    int 0x80
string:
    call main
    db '/bin/sh',0

---

外壳代码

您的代码实际上调用了JMP/CALL/POP 方法，用于编写漏洞利用程序。您是在编写漏洞利用程序还是只是在网上找到此代码？如果它打算用作 shell 代码，则需要避免在输出字符串中放置 0x00 字节。 push 0x00 将在生成的代码中编码 0x00 字节。为避免这种情况，我们可以使用 EAX，我们现在将其清零并将其压入堆栈。同样，您将无法以 NUL 终止字符串，因此您必须将 NUL(0) 字符移动到字符串中。将 EAX 置零并弹出 EBX 后的一种方法是使用类似 mov [ebx+7], al 的方法手动将零移动到字符串的末尾>。七是字符串/bin/sh结束后的索引。您的代码将如下所示:

global start
section .text
start:
    jmp string
main:
    ; 59 opcode
    ; int execve(char *fname, char **argp, char **envp);
    xor eax, eax        ;Zero EAX
    pop ebx             ;stringa
    mov [ebx+7], al     ;append a zero onto the end of the string '/bin/sh' 
    push eax            ;3rd param
    push eax            ;2nd param
    push ebx            ;1st param
    add eax,0x3b        ;execve opcode
    push eax
    int 0x80            ;interupt
    sub eax,0x3a        ; exit opcode
    push eax
    int 0x80
string:
    call main
    db '/bin/sh',1