ARM，GNU汇编程序：如何将"array"参数传递给execve()？

Question

我正在编写一个简单的shellcode，它将在ARM平台(Raspberry PI上的Linux)上调用execve()，并且被execve的第二个参数卡住了。根据文档:

int execve(const char *filename, char *const argv[], char *const envp[]);

如果我调用execve("/bin/sh", {NULL}, {NULL});(从组装的角度)，这对我来说完全是切割:

.data
.section .rodata
.command:
        .string "/bin/sh"
.text
.globl _start
_start: 
        mov r7, #11
        ldr r0, =.command
        eor r1, r1 @ temporarily forget about argv
        eor r2, r2 @ don't mind envp too
        svc #0
        mov r7, #1
        eor r0, r0
        svc #0

上面的程序集编译得很好，并且在具有真正的/bin/sh的测试机器上运行时调用shell。然而，我所有的麻烦是，在特定的目标框上，没有/bin/sh 本身，但只有一个到busybox的符号链接，这需要我执行execve("/bin/busybox", {"/bin/busybox", "sh", NULL}, {NULL})之类的东西。

就我所理解的，数组在内存中是连续的，所以我所要做的就是以连续的方式在内存中分配字节，然后将指针指向我认为是这样的"数组"的开始。考虑到这一点，我尝试如下:

.data
.section .rodata
.command:
        .string "/bin/busybox"
.args:  
        .ascii "/bin/busybox"
        .ascii "sh"
        .ascii ""
.text
.globl _start
_start: 
        mov r7, #11
        ldr r0, =.command
        ldr r1, =.args
        eor r2, r2
        svc #0
        mov r7, #1
        eor r0, r0
        svc #0

然而，

没有成功。试着玩字节，只是创建了一系列的字节与空字节填充对齐到4个字节，这也没有工作。如果.args标签看起来像这样:

.args:  
        .ascii "/bin/sh"
        .ascii "-c"
        .ascii "ls"
        .ascii ""

则正在执行的程序的strace如下所示:

$ strace ./shell
execve("./shell", ["./shell"], [/* 19 vars */]) = 0
dup2(0, 4)                              = 4
dup2(1, 4)                              = 4
dup2(2, 4)                              = 4
execve("/bin/sh", [0x6e69622f, 0x68732f, 0x632d, 0x736c00], [/* 0 vars */]) = -1 EFAULT (Bad address)
exit(0)                                 = ?
+++ exited with 0 +++

(尝试先在测试机上执行/bin/sh -c ls，然后再编码/bin/busybox sh)。

我运行了一个类似的C程序，然后对它进行了调试，看看它是如何完成的。似乎传递给r1的位置包含一堆指向字符串的指针，然后，自然地，0x00:

(gdb) x/4xw 0xbefff764
0xbefff764:     0x000105d0      0x000105d8      0x000105dc      0x00000000
... snip ...
(gdb) p argv
$3 = {0x105d0 "/bin/sh", 0x105d8 "-c", 0x105dc "ls", 0x0}

现在我弄清楚了内存是如何布局的，我如何在汇编中准备这种布局，并正确地将第二个参数传递给execve()作为ARM汇编术语中的"数组"?

Answer 1

天哪，我刚想到这个…几个小时的摆弄，然后2分钟后张贴我自己的问题一个答案击中了我…橡皮鸭调试工作。

.data
.section .rodata
command:
        .string "/bin/sh"
arg0:  
        .string "/bin/sh"
arg1:  
        .string "-c"
arg2:  
        .string "ls"
args:  
        .word arg0
        .word arg1
        .word arg2
        .word 0
.text
.globl _start
_start: 
        mov r7, #11
        ldr r0, =command
        ldr r1, =args
        eor r2, r2
        svc #0
        mov r7, #1
        eor r0, r0
        svc #0

Answer 2

可以使用堆栈指针传递参数。当程序启动时，第一个参数(arg[1])将在sp+8。

shell.s:

    .text
    .globl _start
    _start: 
        .code 32
            add r3,pc,#1
            bx r3
        .code 16
            ldr r0, [sp, #8] @ load argv[1] to r0
            add r1, sp, #8   @ set &argv[1] to r1
            eor r2, r2       @ set NULL to r2
            mov r7, #11
            svc #1

下面的代码与c代码相同:

#include <unistd.h>
int main(int argc, char *argv[])
{
    execve(argv[1], &argv[1], NULL);
    return 0;
}

第三个参数是envp，可以设置为NULL。

启动/bin/sh:

shell /bin/sh

我希望这能帮助到一些人