Блог

Мой код:

 .section .data
name: .string "/bin/sh"
args:
        .string "-c"
        .string "ls"

.section .text
.globl _start
_start:
        pushq $0
        pushq name

        movq $59, %rax
        movq %rsp, %rdi

        pushq $0
        pushq args

        movq %rsp, %rsi
        movq $0, %rdx

        syscall
  

Я знаю, что вторым аргументом execve является массив символов.

Как это сделать в сборке, чтобы избежать этого:

 execve("./payload", ["./payload"], 0x7ffc291fd160 /* 40 vars */) = 0
execve("/bin/sh", [0x736c00632d], NULL) = -1 EFAULT (Bad address)
--- SIGSEGV {si_signo=SIGSEGV, si_code=SEGV_MAPERR, si_addr=0xfffffffffffffff2} ---
    killed by SIGSEGV    
Segmentation fault
  

execve Системный вызов имеет подпись

 execve(const char *path, char *const argv[], char *const envp[]);
  

Вектор аргументов представляет собой массив строк, то есть указатель на массив указателей на массивы символов. Однако вы указали указатель на массив символов, который неверен и не будет работать. Чтобы исправить это, добавьте массив указателей, ссылающихся на ваши аргументы:

         .section .data
name:   .string "/bin/sh"
arg1:   .string "-c"
arg2:   .string "ls"

args:   .quad name
        .quad arg1
        .quad arg2
        .quad 0

        .section .text
        .globl _start
_start: movq $59, %rax
        leaq name(%rip), %rdi
        leaq args(%rip), %rsi
        movq $0, %rdx

        syscall
  

Посмотрите, как теперь args массив указателей на аргументы завершается нулем. Также обратите внимание, что первым аргументом (с индексом 0) обычно является само имя программы. Передача фактического параметра там не будет работать должным образом.

Я также упростил код, загрузив адреса строк непосредственно с помощью lea инструкции, а не обходным путем, который вы использовали.