linux – ARM,GNU汇编程序：如何将“数组”参数传递给execve()？

2019-08-29 21:51:00 阅读：440 来源： 互联网

标签：shellcode execve linux assembly arm

我正在编写一个简单的shellcode,它会调用execve()用于ARM平台(Raspberry PI上的Linux),并且遇到第二个参数execve.按照documentation：

int execve(const char *filename, char *const argv[], char *const envp[]);

如果我调用execve(“/ bin / sh”,{NULL},{NULL}),那对我来说完全削减了它; (从装配的角度来看)：

.data

.section .rodata

.command:
        .string "/bin/sh"

.text

.globl _start

_start: 
        mov r7, #11
        ldr r0, =.command
        eor r1, r1 @ temporarily forget about argv
        eor r2, r2 @ don't mind envp too
        svc #0

        mov r7, #1
        eor r0, r0
        svc #0

上面的程序集很好地编译,并在我的测试机器上运行时唤起shell,它具有true / bin / sh.但是,我所有的麻烦都是在特定目标盒上没有/ bin / sh本身,但只有一个符号链接到busybox,这需要我执行类似execve(“/ bin / busybox”,{“/ bin / busybox” ,“sh”,NULL},{NULL}).

至于我的理解,数组在内存中是连续的,所以我所要做的就是以连续的方式在内存中分配字节,然后将指针提供给我认为是“数组”的开头.考虑到这一点,我尝试了以下内容：

.data

.section .rodata

.command:
        .string "/bin/busybox"

.args:  
        .ascii "/bin/busybox\0"
        .ascii "sh\0"
        .ascii "\0"

.text

.globl _start

_start: 
        mov r7, #11
        ldr r0, =.command
        ldr r1, =.args
        eor r2, r2
        svc #0

        mov r7, #1
        eor r0, r0
        svc #0

但没有成功.尝试使用字节,只需创建一系列字节,填充空字节以对齐4个字节,这也无法正常工作.如果.args标签如下所示：

.args:  
        .ascii "/bin/sh\0"
        .ascii "-c\0\0\0"
        .ascii "ls\0\0\0"
        .ascii "\0\0\0\0"

那么正在执行的程序的strace如下：

$strace ./shell
execve("./shell", ["./shell"], [/* 19 vars */]) = 0
dup2(0, 4)                              = 4
dup2(1, 4)                              = 4
dup2(2, 4)                              = 4
execve("/bin/sh", [0x6e69622f, 0x68732f, 0x632d, 0x736c00], [/* 0 vars */]) = -1 EFAULT (Bad address)
exit(0)                                 = ?
+++ exited with 0 +++

(在编码/ bin / busybox之前,尝试先在测试机器上执行/ bin / sh -c ls).

我运行了一个类似的C程序,然后调试它以查看它是如何完成的.看来传递给r1的位置包含一串指向字符串的指针然后自然地为0x00：

(gdb) x/4xw 0xbefff764
0xbefff764:     0x000105d0      0x000105d8      0x000105dc      0x00000000

... snip ...

(gdb) p argv
$3 = {0x105d0 "/bin/sh", 0x105d8 "-c", 0x105dc "ls", 0x0}

题
现在我想出了内存是如何布局的,如何在汇编中准备这样的布局并正确地将第二个参数传递给execve()作为ARM程序集中的“数组”？

解决方法:

天哪,我刚刚提出这个…几个小时的摆弄,然后在发布我自己的问题后2分钟,一个答案击中了我…橡皮鸭调试工作.

.data

.section .rodata

command:
        .string "/bin/sh"

arg0:  
        .string "/bin/sh"

arg1:  
        .string "-c"

arg2:  
        .string "ls"

args:  
        .word arg0
        .word arg1
        .word arg2
        .word 0

.text

.globl _start

_start: 
        mov r7, #11
        ldr r0, =command
        ldr r1, =args
        eor r2, r2
        svc #0

        mov r7, #1
        eor r0, r0
        svc #0

标签：shellcode,execve,linux,assembly,arm
来源： https://codeday.me/bug/20190829/1763633.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。

ICode9

linux – ARM,GNU汇编程序：如何将“数组”参数传递给execve()？