关于LACTF 2025 mmapro知识点思考-先知社区

前言

这个题的源代码十分的简短，但是需要对

mmap

的实现有一定的了解，通过这个复现随便来浅浅了解一下

mmap

函数

题目源码

程序一开始就给了我们

mmap

的地址，泄露了

libc

地址给我们

其次给我们可以控制

mmap

的六个参数

猜测

既然程序给了我们

libc

的地址，也给了我们控制

mmap

的参数，那么大概率是需要通过

mmap

来实现控制程序的执行流程

mmap

函数

Linux的

mmap

（内存映射）是一种将文件或设备直接映射到进程虚拟地址空间的机制，允许进程像访问内存一样操作文件或共享内存，函数原型

前面的三个参数都是老朋友，最主要的是后面的

flags

，通过查阅文档可以发现对

flags

的描述

flags宏	十六进制值	说明
MAP_SHARED	0x01	映射区域与其他进程共享，对内存的修改会同步到文件。
MAP_PRIVATE	0x02	映射区域为私有，写入时会触发“写时复制”（Copy-on-Write），不修改文件。
MAP_FIXED	0x10	强制使用指定的起始地址 start，若冲突则失败。
MAP_ANONYMOUS	0x20	匿名映射（不关联文件），通常与 MAP_ANON 等价。
MAP_DENYWRITE	0x0800	禁止对映射文件的其他直接写入操作（需文件未被其他进程打开写入）。
MAP_LOCKED	0x2000	锁定映射区域，防止被交换到磁盘（Swap）。

可以看到我们通过

MAP_ANONYMOUS

实现匿名映射，不与任何文件做关联，即可以不用管

的值；而

MAP_FIXED

可以强制指定一个地址，作为开始，那么我们是否可以利用这个特性将

libc

的地址重新映射，所以我们先实践一下，是否可行

MAP_ANONYMOUS

与

MAP_FIXED

或值刚好是

0x30

但是经过实践发现不太行

于是问了一下

deepseek

，发现还需要加这个

flags

，**

MAP_PRIVATE

**：通过写时复制实现内存修改的隔离，保护原始数据不被意外修改。

因为本质上我们

libc

也算是映射的一个文件的副本，若我们想要覆盖（通过

mmap

）它的话，必须是加上

MAP_PRIVATE

，才可以

所以我们第二次尝试，这次加上

MAP_PRIVATE

的

flags

成功实现，但是我们发现这里

libc

的数据因为重新覆盖而变成了空数据，即是全部都是

字符

思路&利用方法

对于目前来说，我们可以实现的是将一段

libc

的内存，使之变为全是00的字符数据，那么我们使用在

mmap

函数所在的页看看会发生什么

我们继续步进看看会发生什么

这里可以发现

mmap

函数的数据全部是00字符，而这些00字符刚好组合成这个汇编代码

而

mmap

的返回值刚好是我们一开始给它的

start

的地址，所以这里是一个合法地址，使得这个指令可以正常执行下去，形成了一个类似于

Nop

的滑板指令

我们继续执行就可以看到它会卡到我们没有修改的相邻页上的代码地址

自此，如果在以页为开始的

libc

代码，即以

0x000

结尾的地址，并且是在

mmap

函数所在的页的下方，我们就可以使用它作为我们可用的

gadget

下面是参考了官方

可用

gadget

官方

exp

使用的是这个地址

我们可以计算一下也就是

0x115000+0x57000

就是

0x16c000

的位置，这里可以看看是怎么实现的，下面是以

mmap

所在的页为

start

地址

可以发现是

ptsname_r

函数的开头位置，并且

call ioctl

并没有被我们所覆写，所以可以成功调用，也有把

canary

给压入栈中，最后

这里可以发现卡在了0x32的位置上，如果我们仔细看的话就可以发现，这个0x32就是我们控制的

flags

数据，那么我们改如何利用这个呢

我们回想一下我们正常使用

mmap

的时候，我们是怎么用这个

flags

，例如

不难发现是或运算，并且对应的

flags

也就是只用那么几个，那么我们可以找到一个符合条件的

ret

，即满足上面的

flags

的条件的，我们可以通过对应寻找一下

随便选条032为结尾即可

然后既然我们的

rdi

是我们的

start

地址，那么我们可以使用

gets

写入

shellcode

，然后再让程序跳转到位置即可

原理就是把flags设置为符合条件并且是ret指令的地址，然后把

控制位

gets

函数，

offset

控制为

start

地址，这样就可以实现一个

ROP

链

最后

exp

完整

exp

如下

最后

因为是按页覆盖，实际上利用的

gadget

并不是很多，笔者也是有尝试过通过爆破来实现定位到可用

gadget

的偏移，不需要很久的时间，可以利用

pwntools+gdb

来对最后卡住的寄存器进行判断，来实现可用

gadget

的爆破