标签：other ips another rar elf turn 最好 intel read
pwntools 是一款专门用于CTF Exploit的python库，能够很方便的进行本地与远程利用的切换，并且里面包含多个模块，使利用变得简单。
可以在github上直接搜索pwntools 进行安装。
asm : 汇编与反汇编，支持x86/x64/arm/mips/powerpc等基本上所有的主流平台
dynelf : 用于远程符号泄漏，需要提供leak方法
elf : 对elf文件进行操作，可以获取elf文件中的PLT条目和GOT条目信息
gdb : 配合gdb进行调试，设置断点之后便能够在运行过程中直接调用GDB断下，类似于设置为即使调试JIT
memleak : 用于内存泄漏
shellcraft : shellcode的生成器
这个模块提供一些基本的汇编与反汇编操作，一般可以用linux的objdump以及IDA Pro能够完成基本的需求。
DynELF是leak信息的神器。前提条件是要提供一个输入地址，输出此地址最少1byte数的函数。官网给出的说明是：Given a function which can leak data at an arbitrary address, any symbol in any loaded library can be resolved.
# Assume a process or remote connection p = process(‘./pwnme‘) # Declare a function that takes a single address, and # leaks at least one byte at that address. def leak(address): data = p.read(address, 4) log.debug("%#x => %s" % (address, (data or ‘‘).encode(‘hex‘))) return data # For the sake of this example, let‘s say that we # have any of these pointers. One is a pointer into # the target binary, the other two are pointers into libc main = 0xfeedf4ce libc = 0xdeadb000 system = 0xdeadbeef # With our leaker, and a pointer into our target binary, # we can resolve the address of anything. # # We do not actually need to have a copy of the target # binary for this to work. d = DynELF(leak, main) assert d.lookup(None, ‘libc‘) == libc assert d.lookup(‘system‘, ‘libc‘) == system # However, if we *do* have a copy of the target binary, # we can speed up some of the steps. d = DynELF(leak, main, elf=ELF(‘./pwnme‘)) assert d.lookup(None, ‘libc‘) == libc assert d.lookup(‘system‘, ‘libc‘) == system # Alternately, we can resolve symbols inside another library, # given a pointer into it. d = DynELF(leak, libc + 0x1234) assert d.lookup(‘system‘) == system
这是一个静态模块，即静态加载ELF文件，然后通过相关接口获取一些信息，常用接口有：
got 获取指定函数的GOT条目
plt 获取指定函数的PLT条目
address 获取ELF的基址
symbols 获取函数的实际地址（待确定）
该模块用于调用gdb调试
在python文件中直接设置断点，当运行到该位置之后就会断下
import pwnlib from pwn import * p = process(‘./c‘) pwnlib.gdb.attach(p)
用于自动产生ROP链 还不支持X64?
elf = ELF(‘ropasaurusrex‘) rop = ROP(elf) rop.call(‘read‘, (0, elf.bss(0x80))) rop.dump() ## 展示当前的ROP chain ### 搜索指定指令 rop.search(move=0, regs=None, order=‘size‘) ‘‘‘ move(int)，栈指针调整的字节数 regs(list)，搜索的寄存器list order(str)，多个gadgets的排序方式，可选值=[‘size‘, ‘regs‘] ‘‘‘ rop.r13_r14_r15_rbp == rop.search(regs=[‘r13‘,‘r14‘,‘r15‘,‘rbp‘], order = ‘regs‘)
rop.call, 两个参数，第一个是需要call的函数或者一个地址，第二个是函数参数，为list，只有一个参数需要在后面加上一个’,’使其变为list
也可以使用ROPgadget进行gadget搜索
shellcraft 模块
shellcraft模块是shellcode的模块，包含一些生成shellcode的函数。
其中的子模块声明架构，比如shellcraft.arm 是ARM架构的，shellcraft.amd64是AMD64架构，shellcraft.i386是Intel 80386架构的，以及有一个shellcraft.common是所有架构通用的。
有的时候我们需要在写exp的时候用到简单的shellcode，pwntools提供了对简单的shellcode的支持。
首先，常用的，也是最简单的shellcode，即调用/bin/sh可以通过shellcraft得到：
注意，由于各个平台，特别是32位和64位的shellcode不一样，所以最好先设置context。
print(shellcraft.sh()) # 打印出shellcode
print(asm(shellcraft.sh())) # 打印出汇编后的shellcod
asm可以对汇编代码进行汇编，不过pwntools目前的asm实现还有一些缺陷，比如不能支持相对跳转等等，只可以进行简单的汇编操作。如果需要更复杂一些的汇编功能，可以使用keystone-engine项目，这里就不再赘述了。
asm也是架构相关，所以一定要先设置context，避免一些意想不到的错误。
标签：other ips another rar elf turn 最好 intel read
原文地址：http://www.cnblogs.com/liuyimin/p/7512252.html
