OSX裸函数应用实战 -- by 飘云

飘云

1. //
   
2. //  main.m
   
3. //  debug
   
4. //
   
5. //  Created by piao on 15/7/20.
   
6. //  Copyright (c) 2015年 piao. All rights reserved.
   
7. //
   
8. 
   
9. #import <Foundation/Foundation.h>
   
10. 
    
11. __attribute__((naked)) uint64_t getRbp()
    
12. {
    
13.     __asm__("mov %rbp, %rax\n\n\r"
    
14.             "ret");
    
15. }
    
16. 
    
17. // 嘿嘿，shellcode经常用到滴...
    
18. __attribute__((naked)) uint64_t getRip()
    
19. {
    
20.     __asm__("call 0f\n\n\r"
    
21.             "0:pop %rax\n\n\r"
    
22.             //"sub $5, %rax\n\n\r"   // 减去指令长度
    
23.             "ret");
    
24. }
    
25. 
    
26. __attribute__((naked)) uint64_t getRsp()
    
27. {
    
28.     __asm__("mov %rsp, %rax\n\n\r"
    
29.             "ret");
    
30. }
    
31. 
    
32. void piaoyun(){
    
33. 
    
34.     NSLog(@"[++++]一层返回 = %llx", getRip() - 5);
    
35.     NSLog(@"[++++]二层返回 = %llx", *(uint64_t *)(getRbp() + 0x8));
    
36.      
    
37. }
    
38. 
    
39. int main(int argc, const char * argv[]) {
    
40.     @autoreleasepool {
    
41.         piaoyun();
    
42.     }
    
43.     return 0;
    
44. }

复制代码

嘿嘿，至于能干嘛，我就不说了。我经常用到，屡试不爽~~

wangwei628

这个高级
看不懂

0xcb

一层的getRIP怎么个玩法，没搞懂，{:soso_e117:}//"sub $5, %rax\n\n\r"   // 减去指令长度
就是在这里可以放入shellcode来加入自己的代码段？
学习新单词啦：naked~， naked~， naked~，{:soso_e113:}， naked属性，编译器不会生成任何函数入口代码和退出代码，不写return也可以编译过，

creantan

不错不错、、、、{:soso_e163:}

飘云

wx_f1Jji177 发表于 2015-7-21 00:37
一层的getRIP怎么个玩法，没搞懂，//"sub $5, %rax\n\n\r"   // 减去指令长度
就是在这里可 ...

自己写ret是个良好的习惯，你恰好遇到的是GCC默认编译。。会给你提供ret，某些编译器不会添加任何返回代码

0xcb

飘云 发表于 2015-7-21 09:43
自己写ret是个良好的习惯，你恰好遇到的是GCC默认编译。。会给你提供ret，某些编译器不会添加任何返回代 ...

的确，编译器还是会自动加结尾：
mov %rax, %rbp
ret

niusiqiang

gao高端，看不懂~~~

MOV

收藏先~

一梦千年缘

表示看不懂

tree_fly

shellcode，很爽~~~