pwn system(“/bin/sh“)失败的原因

这里写自定义目录标题

• • 现象
  • 原因

现象

栈溢出做pwn 题跳转到system("/bin/sh")报错

打开gdb调试发现报错：

得知glibc2.27以后引入xmm寄存器, 记录程序状态, 会执行movaps指令, 要求rsp是按16字节对齐的, 所以如果payload这样写

payload = cyclic(0x20 + 8) + p64(pop_rdi_addr) + p64(binsh_addr) + p64(system_addr)

弹出的数据是奇数个, 本地就会报错

但是改成偶数个pop

payload = cyclic(0x20 + 8) + p64(pop_rdi_addr) + p64(binsh_addr) + p64(ret_addr) + p64(system_addr)

就能打通本地了

原因

是xmm寄存器的问题，当glibc版本大于2.27的时候，系统调用system("/bin/sh")之前有个xmm寄存器使用。要确保rsp是与16对齐的，也就是末尾必须是0.

参考

[1]: pwn远程打通本地打不通的“玄学“问题解释

[2]:关于jarvisOJ_level0远程打得通本地打不通的问题