【pwn学习】pwn中常用工具_pwn工具

本文整理了在pwn中常用的一些工具，随着学习的深入也会不断添加

1.1 radare2

一个linux中命令行的静态分析工具
基础使用：https://linux.cn/article-13074-1.html

• aaa命令，执行分析

• s: 跳转命令，后面可以跟数字或函数名称或地址等

• afl: show all funtions

• pdf: 打印汇编信息

• pdc: similar to ida F5-plguin

• iz: print all strings

• iS: 查看段信息

• ix: 查看文件头信息

• axt [addr or funName]: show reference info

• iI: same as rabin2 -I [filepath]

• /R: Search for ROP gadgets

  > /R?
  Usage: /R   Search for ROP gadgets
  | /R [filter-by-string]    Show gadgets
  | /R/ [filter-by-regexp]   Show gadgets [regular expression]
  | /R/j [filter-by-regexp]  JSON output [regular expression]
  | /R/q [filter-by-regexp]  Show gadgets in a quiet manner [regular expression]
  | /Rj [filter-by-string]   JSON output
  | /Rk [select-by-class]    Query stored ROP gadgets
  | /Rq [filter-by-string]   Show gadgets in a quiet manner
  1
  2
  3
  4
  5
  6
  7
  8
  9

1.2 pwntools

https://zhuanlan.zhihu.com/p/83373740

• asm无法使用

需要安装bintuils工具

brew install binutils-amd64.rb
1

https://docs.pwntools.com/en/stable/install/binutils.html#mac-os-x

• pwntools使用gdb.attach时无限循环wait for debugger

首先使用pwn version确认你的pwntools版本。如果是4.6.0及之前的版本，都存在这个问题。若如此，找个目录下载一下最新的版本：git clone --depth 1 git://github.com/Gallopsled/pwntools，然后不需要cd切换目录，直接使用pip install --upgrade --editable ./pwntools。这条语句会自动卸载当前pwntools并安装开发版本。Waiting for debugger无限等待的问题在这篇博客发表4天前（2021-7-15）刚被修复……
————————————————
版权声明：本文为CSDN博主「柷敔」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。
原文链接：https://blog.csdn.net/weixin_43483799/article/details/118885208

1.2.1 格式化字符串

• fmtstr_payload(offset, writes, numbwritten=0, write_size=‘byte’)
  • offset（int）: 字符串的偏移
  • writes (dict): 注入的地址和值，{target_addr : change_to, }
  • numbwritten (int) : 已经由printf函数写入的字节数，默认为0
  • write_size : 逐byte/short/int写入，默认是byte

1.2.2 SROP

在利用SROP的时候，我们需要常常只需要修改一部分寄存器的内容，比如rax，rip，rdi，rsi，rdx，但是构造整个sigal_frame还是需要输入很多内容，因此可以直接利用SigreturnFrame()来构造一个signal frame的结构体

# 使用前要声明kernel
context(arch='amd64')

# 利用Sigreturn执行execve('/bin/sh',0,0)获取shell
fake_signal_frame = SigreturnFrame()
fake_signal_frame.rax = 0x5b	# x64系统中execve调用为59
fake_signal_frame.rdi = binsh_addr
fake_signal_frame.rsi = 0
fake_signal_frame.rdx = 0
fake_signal_frame.rsp = stack_addr	
fake_signal_frame.rip = syscall_ret	# gadget of syscal

payload = b'a' * 0x10 + bytes(fake_signal_frame)
1
2
3
4
5
6
7
8
9
10
11
12
13

1.2.3 ELF

Python3 通过ELF寻找字符串

binsh = next(libc.search('/bin/sh'))
1

1.3 checksec

1.4 gdb

• 安装

  直接使用apt install gdb安装

1.5 pwndbg

安装过程中报错

The following packages have unmet dependencies:
 libc6-dev : Breaks: libgcc-9-dev (< 9.3.0-5~) but 9.2.1-22 is to be installed
1
2

执行下列命令安装依赖

sudo apt install gcc-9-base
1

常用指令

• disass [function] : 反编译函数
• ni
• si
• finish
• n

堆操作指令（pwndbg插件独有）

• arena //显示arena的详细信息
  • arenas //显示所有arena的基本信息
  • arenainfo //好看的显示所有arena的信息
• bins //常用，查看所有种类的堆块的链表情况
  • fastbins //单独查看fastbins的链表情况
  • largebins //同上，单独查看largebins的链表情况
  • smallbins //同上，单独查看smallbins的链表情况
  • unsortedbin //同上，单独查看unsortedbin链表情况
  • tcachebins //同上，单独查看tcachebins的链表情况
• tcache //查看tcache详细信息
• heap //数据结构的形式显示所有堆块，会显示一大堆
  • heapbase //查看堆起始地址
  • heapinfo、heapinfoall //显示堆得信息，和bins的挺像的，没bins好用
  • parseheap //显示堆结构，很好用
• tracemalloc //好用，会跟提示所有操作堆的地方

1.6 LibcSearch

安装

git clone https://github.com/lieanu/LibcSearcher.git
cd LibcSearcher
python setup.py develop
1
2
3

实例

from LibcSearcher import *

#第二个参数，为已泄露的实际地址,或最后12位(比如：d90)，int类型
obj = LibcSearcher("fgets", 0X7ff39014bd90)

obj.dump("system")        #system 偏移
obj.dump("str_bin_sh")    #/bin/sh 偏移
obj.dump("__libc_start_main_ret")  
1
2
3
4
5
6
7
8

1.7 glibc-all-in-one

glibc包下载工具，可以查看下载不同的libc包，配合patchelf可以切换不同的libc版本。

安装

git clone https://github.com/matrix1001/glibc-all-in-one.git
1

使用

./update_list #更新最新版本的glibc
cat list #查看可下载的glibc
./download glibc #glibc为你想要下载glibc的名字
1
2
3

1.8 patchelf

一个可以修改elf中的ld和libc路径的工具

安装

git clone https://github.com/NixOS/patchelf
1

使用

./bootstrap.sh
./configure
make
sudo make install
make check
1
2
3
4
5

更换libc

patchelf --set-interpreter [ld.so路径] --set-rpath [libc所在目录] [elf文件]
1

示例

更换use_after_free程序的libc版本

更换前

morphy@ubuntu:~/study/pwn/heap$ ldd use_after_free
	linux-vdso.so.1 (0x00007ffeef6bf000)
	libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6 (0x00007f7b967ad000)
	/lib64/ld-linux-x86-64.so.2 (0x00007f7b969b8000)
1
2
3
4

使用libc更换

morphy@ubuntu:~/tools/pwn/patchelf$ patchelf --set-interpreter ~/tools/pwn/glibc-all-in-one/libs/2.23-0ubuntu3_amd64/ld-2.23.so --set-rpath ~/tools/pwn/glibc-all-in-one/libs/2.23-0ubuntu3_amd64/ ~/study/pwn/heap/use_after_free

1
2

更换后

morphy@ubuntu:~/study/pwn/heap$ ldd use_after_free
	linux-vdso.so.1 (0x00007ffc80fe4000)
	libc.so.6 => /home/morphy/tools/pwn/glibc-all-in-one/libs/2.23-0ubuntu3_amd64/libc.so.6 (0x00007f73162c6000)
	/home/morphy/tools/pwn/glibc-all-in-one/libs/2.23-0ubuntu3_amd64/ld-2.23.so => /lib64/ld-linux-x86-64.so.2 (0x00007f7316698000)
1
2
3
4

Q&A

• 执行bootstrap.sh可能遇到报错./bootstrap.sh: 2: autoreconf: not found，执行下面命令解决

  sudo apt-get install autoconf automake libtool
  1

1.9 Ghidra

和ida类似的一个静态分析软件，开源免费，且跨平台。

需要jdk11+的环境

从github上下载release版本，解压后运行./ghidrarun。

1.10 one_gadget

github链接： one_gadget

查询libc中execve('/bin/sh', NULL, NULL)

安装

gem install one_gadget
1

使用

one_gadget path_to_libc
1