stub_execveat
程式會先跑read(0, buf, 0x148)然後就會overflow，這時的rsi會指向buf開頭，所以簡而言之，我只要在開頭加上類似/bin/sh-x00 + padding，那rsi指向的位址就會是/bin/sh這個絕對路徑，然後只要總輸入的字元數等於322就可以把rax設定成322，最後跳到syscall，就會呼叫stub_execveat啦~~ 不過有一點要注意的是 ..., 程式會先跑read(0, buf, 0x148)然後就會overflow，這時的rsi會指向buf開頭，所以簡而言之，我只要在開頭加上類似/bin/sh-x00 + padding，那rsi指向的位址就會是/bin/sh這個絕對路徑，然後只要總輸入的字元數等於322就可以把rax設定成322，最後跳到syscall，就會呼叫stub_execveat啦~~ 不過有一點要注意的是 ...
| 相關軟體 Write! 資訊 | |
|---|---|
 stub_execveat 相關參考資料
AIS3 2017 Workshop | Kaibro's blog
這題關鍵就是要構造編號(rax)322的system call: stub_execveat 他跟execve一樣可以叫出shell，底層實作似乎一樣(我沒研究就是惹… 那要怎麼讓rax變成322呢… 很簡單，因為中間會call read讀資料，只要讀322 bytes 返回值rax就會等於322 接著我們輸入的時候一開始直接輸入/bin/sh-0 因為rsi(execveat ... http://blog.kaibro.tw 2017年8月20日星期日 - starPt : OlaOlaOlaOlaOla
程式會先跑read(0, buf, 0x148)然後就會overflow，這時的rsi會指向buf開頭，所以簡而言之，我只要在開頭加上類似/bin/sh-x00 + padding，那rsi指向的位址就會是/bin/sh這個絕對路徑，然後只要總輸入的字元數等於322就可以把rax設定成322，最後跳到syscall，就會呼叫stub_execveat啦~~ 不過有一點要注意的是 ... http://look3little.blogspot.co [Writeup] ais3 binary exploitation bonus : end - starPt : OlaOlaOlaOlaOla
程式會先跑read(0, buf, 0x148)然後就會overflow，這時的rsi會指向buf開頭，所以簡而言之，我只要在開頭加上類似/bin/sh-x00 + padding，那rsi指向的位址就會是/bin/sh這個絕對路徑，然後只要總輸入的字元數等於322就可以把rax設定成322，最後跳到syscall，就會呼叫stub_execveat啦~~ 不過有一點要注意的是 ... http://look3little.blogspot.co stub_execveat - linux - Elixir - Bootlin
Defined in 1 files: arch/x86/um/sys_call_table_64.c, line 36 (as a macro). Referenced in 1 files: arch/x86/um/sys_call_table_64.c, line 36. Filter tags. Projects. busybox · linux · u-boo... https://elixir.bootlin.com Djosix.ML
Model-Based RL. Learn the model directly from experience. Model contains transitions and rewards, then plan the value function (policy) from that model without interacting with the environment. Advant... https://djosix.github.io linux(x86)64位系统调用列表 | Index of Computer System and Security
... int kernel_fd, int initrd_fd, unsigned long cmdline_len, const char __user *cmdline_ptr, unsigned long flags. 321, sys_bpf, int cmd, union bpf_attr *attr, unsigned int size. 322, stub_execveat, i... https://www.csyssec.org System Calls
316 common renameat2 sys_renameat2. ○ 317 common seccomp sys_seccomp. ○ 318 common getrandom sys_getrandom. ○ 319 common memfd_create sys_memfd_create. ○ 320 common kexec_file_load sys_kexec_file_load... http://www.cs.fsu.edu Move stub_x32_execve[at] closer to stub_execveat - Patchwork
This is a preparatory patch for moving stub32_execve[at] to this file. It makes sense to have all execve stubs in one place, so that they can reuse code. Signed-off-by: Denys Vlasenko <dvlasenk@re... https://patchwork.kernel.org 系统调用约定| 上善若水
... int kernel_fd, int initrd_fd, unsigned long cmdline_len, const char __user *cmdline_ptr, unsigned long flags. 321, sys_bpf, int cmd, union bpf_attr *attr, unsigned int size. 322, stub_execveat, i... https://introspelliam.github.i |