Решение проблемы системного вызова mprotect()

Question

Я пишу некоторый код эксплойта ROP, который вызывает mprotect через системный вызов, после вызова int 0x80 eax устанавливается в 0x0, что указывает на успех. Сдвиг выполнения на целевой адрес все еще приводит к SIGSEGV. Я хотел бы, чтобы кто-то показал мне, где я ошибаюсь.

Некоторые детали, целевой адрес - это раздел.data, здесь я буду писать по шеллкоду:[20] 0x8146820->0x814c2b8 at 0x000fd820: .data ALLOC LOAD DATA HAS_CONTENTS

Я поставил eax в 125, ebx до границы страницы 0x8146000, ecx в 0x1000 (Размер страницы 4096) и edx в 0x7 (RWX).

Непосредственно перед системным вызовом регистры выглядят так:

eax            0x7d 125
ecx            0x1000   4096
edx            0x7  7
ebx            0x8146000    135553024
esp            0xbffff2b0   0xbffff2b0
ebp            0x8d0e0f0    0x8d0e0f0
esi            0x804fb85    134544261
edi            0x43434343   1128481603
eip            0x80c0182    0x80c0182 <mprotect+18>
eflags         0x202    [ IF ]
cs             0x73 115
ss             0x7b 123
ds             0x7b 123
es             0x7b 123
fs             0x0  0
gs             0x33 51
(gdb) disas $eip, $eip+20
Dump of assembler code from 0x80c0182 to 0x80c0196:
=> 0x080c0182 <mprotect+18>:    int    $0x80
   0x080c0184 <mprotect+20>:    pop    %ebx
   0x080c0185 <mprotect+21>:    cmp    $0xfffff001,%eax
   0x080c018a <mprotect+26>:    jae    0x80c7d80 <__syscall_error>
   0x080c0190 <mprotect+32>:    ret    

и после системного вызова регистры:

(gdb) si
0x080c0184 in mprotect ()
(gdb) i r
eax            0x0  0
ecx            0x1000   4096
edx            0x7  7
ebx            0x8146000    135553024
esp            0xbffff2b0   0xbffff2b0
ebp            0x8d0e0f0    0x8d0e0f0
esi            0x804fb85    134544261
edi            0x43434343   1128481603
eip            0x80c0184    0x80c0184 <mprotect+20>
eflags         0x202    [ IF ]
cs             0x73 115
ss             0x7b 123
ds             0x7b 123
es             0x7b 123
fs             0x0  0
gs             0x33 51

Однако расположение памяти не показывает изменения в разрешениях, и попытка выполнить инструкции завершает приложение:

(gdb) x/4x 0x8146820
0x8146820:      0x00000000      0x00000000      0x08146154      0x0000ea60
(gdb) c
Continuing.

Program received signal SIGSEGV, Segmentation fault.
0x08146820 in data_start ()

Любые предложения о том, как / что отлаживать или что я делаю не так, приветствуются.

Edit Я запустил его под strace без отладчика, похоже, что вызов mprotect был успешным, но выполнение завершилось неудачно:

stat64("/etc/localtime", {st_mode=S_IFREG|0644, st_size=2197, ...}) = 0
mprotect(0x8146000, 4096, PROT_READ|PROT_WRITE|PROT_EXEC) = 0
--- SIGSEGV {si_signo=SIGSEGV, si_code=SEGV_MAPERR, si_addr=0} ---
+++ killed by SIGSEGV (core dumped) +++

Подтверждение аварийного адреса из ядра:

Program terminated with signal SIGSEGV, Segmentation fault.
#0  0x08146820 in data_start ()

Answer 1

Ваш вызов mprotect сработал. Программа вылетает, потому что 0x8146820 держит0x0000, который разбирает на add [eax], al, а также eax держит ноль. Но адрес 0 не отображается. (Вот почему сегфо в si_addr=0)