最近在学用DynELF + puts函数泄漏system地址从而getshell，遇到几个坑
get函数溢出时不适合用DynELF泄漏
刚开始使用gets函数产生栈溢出的程序来泄漏，但由于gets函数读到\x0a即换行符的时候就会截断，而leak函数的address又有些会带有\x0a，导致payload被截断从而程序终止
程序成功执行却起不了shell
由于gets函数不适合用DynELF，所以用read函数改写了个测试程序来利用DynELF，但能执行system却get不到shell
#测试程序
#include <stdio.h>
#include <stdlib.h>
#include <time.h>
char buf2[100];
void secure(void)
{
int secretcode, input;
srand(time(NULL));
secretcode = rand();
scanf("%d", &input);
if(input == secretcode)
puts("no_shell_QQ");
}
void func(void)
{
char buf1[100];
printf("No surprise anymore, system disappeard QQ.\n");
printf("Can you find it !?");
return read(0, buf1, 160);
}
int main(void)
{
setvbuf(stdout, 0LL, 2, 0LL);
setvbuf(stdin, 0LL, 1, 0LL);
func();
return 0;
}
可以看到是能执行system的，但是发现执行到call execve没有fork新进程，然后我改了一下源码,加一个system("/bin/sh")函数，来观察有什么不同
我发现好像少了QT_QPA_PLATFORMTHEME=appmenu-qt5这个环境变量所以get不到shell,然后检查一下payload看看哪里破坏了堆栈结构导致环境变量被破坏
原来的脚本
然后看网上别人leak函数的payload好像不用pop掉传进去的参数，然后我们改payload为
payload = 'a'*0x6c + 'bbbb' + p32(puts_plt) + p32(vulfun_addr) + p32(address)
再运行也还是不行，但偶然之间又改了一下最后的payload
改之前的payload
改成
改了之后的payload
竟然就能getshell了！，调了一下发现还是没有环境变量，同时call execve也没有产生新的进程，但是当执行exit函数的sysenter时就会不知道做了什么就能getshell(十分神奇)
后面我也经过大量调试+猜测，发现当
有4个数量的参数时，执行sysenter就能成功getshell...
具体的原理也没搞懂(希望日后能知道为什么)，有知道的师傅也可以告诉我...
