###### tags: `PWN`
# Pwn introduction

# 先前知識
* ***dynamic linking***
* ***static linking***
* ***Lazy Binding***
- 第一次call library的函式，才會去找函式真正的位置進行binding

* ***GOT & POT***
* GOT: Global Offset Table
* 函式指標陣列，存其他Library位置(因為有 Lazy Binding, 一開始只會填上plt位置的code)
* 第一次執行 plt 會呼叫 _dl_fixup()，尋找真正function並填入GOT
* offset: 程式中有多少個function就會有多少。 ex. 1個fuction:0
# Security
* 可利用 "checksec" 指令查看程式
* ***RELRO***
* No: link map和GOT都可寫
* Partial: link map不可寫，GOT可寫
* Full: 兩者皆不可寫
* ***Stack Canary***
* 在rdp前塞一個random值，ret之前檢查是否相同，不同的話就會被abort
* 有 canary就不能蓋 return address、rdp
* 要overflow必經過canary, 改到canary就會觸發機制
* ***NX No eXecute***
* DEP(Data Execution Prevention)
* 可執行的不可寫，可寫的不可執行
* ***PIE***
* Position Independent Executable
* 開啟時，data和code段位址式隨機
* 關閉後，data和code段位址固定
* ***ASLR***
* Address Space Layout Randomization
* 記憶體位址隨機變化
* 補足PIE，連同stack、heap、library位址都是隨機
* 系統設定而非程式設定
*

---

# Tools
* ***NCat***
* 開網路連線之工具
* % ncat -vc $binary -kl $ip $port
* % nc $ip $port
* ***Objdump***
* dump出執行檔中的組語
* 可搭配 less/grep使用
* % objdump -M intel -d $binary | less
* ***GDB***
* 可以追蹤更改每一行組語
* 擴充套件: gdb-peda
1. `sudo apt install git`
2. `git clone https://github.com/scwuaptx/peda.git ~/peda`
3. `echo "source ~/peda/peda.py" >> ~/.gdbinit`
4. `cp ~/peda/.inputrc ~/`
5. `sudo apt install gdb`
* 進入gdb
* `% gdb $binary`
* 設定斷點 (function name or memory address)
* `% b main`
* 執行 run
* `% r`
* 繼續執行 continue
* `% c`
* 下一個指令 (不會進入 call)
* `% ni`
* 下個執行指令 (會進入call)
* `% si`
* 跳躍(jump)
* `% j $memory address or $function name`
* 秀出某位址的值，10代表輸出幾個;g是指長度(64-bit);x:16進位，i:組語
* `% x/10gx $memory address`
* 設定某位址/暫存器的值
* `% set $rax=0x5`
* 查看
* `% info b` (查看斷點)
* `% info reg` (查看暫存器)
* 反編譯(選擇區塊)
* `% disas *'function name'`
* 顯示上層所有stack frame的資訊
* `% backtrace`

* 檢查保護機制
* `% checksec`

* 查看 plt(ROP常用到)
* `elfsymbol`
* 查看 section位址
* 攻擊常用到
* `% readelf`
* 找尋字串
* `% find (alias searchmem)`
* ex. /bin/sh
* 紀錄 (方便回朔)
* `% record`