64位系统中能否构造ROP链？64位Linux二进制利用空字节难题咨询

当然可以在64位Linux系统上构造ROP链！你遇到的空字节截断问题确实是64位二进制漏洞利用中常见的痛点，尤其是当漏洞基于strcpy、strcat这类遇到\x00就停止的字符串操作函数时。下面分享几个经过实践验证的解决思路：

1. 优先选择无空字节的Gadget地址 #

这是最直接的方案。很多程序的代码段、依赖的libc库中，存在大量地址不包含\x00的gadget。你可以用ROP分析工具快速筛选：

• 用ROPgadget工具筛选无空字节的gadget：

  ROPgadget --binary ./your_target_binary --noprefix | grep -v "00"
  

• 如果用pwntools编写exp，可以在代码里检查地址是否含空字节：

  def has_null_byte(addr):
      return b'\x00' in p64(addr)
  

  只选择返回False的gadget地址即可。

2. 利用部分覆盖或栈布局技巧 #

如果必须使用某个带空字节的地址，可以尝试利用栈上已有的内容进行部分覆盖：

• 假设目标地址是0x00007fxxxxxx1234，而栈上对应位置原本就有高位的0x00007f（比如来自环境变量或栈帧残留），那你只需要写入低6字节0xxxxxx1234即可，strcpy不会被截断（因为这部分没有空字节）。
• 如果栈布局允许，还可以通过多次溢出操作拆分写入：先写入地址的低4字节，再通过调整栈指针（比如用add rsp, 0x8这类gadget），再写入高4字节，最终组合成完整的8字节地址。

3. 使用寄存器中转写入栈（绕过字符串函数限制） #

既然字符串函数会被空字节截断，那我们可以绕开它们，用寄存器作为中转来写入地址：

• 先找到能将数据加载到寄存器的gadget，比如pop rax; ret;，把目标地址（即使带空字节）通过pop指令加载到rax中。
• 再找到mov [rsp+offset], rax; ret;这类gadget，将rax中的完整地址写入栈上的指定位置。因为mov指令不关心字节内容，空字节也能正常写入。

4. 利用PLT表或程序内部函数地址 #

程序的PLT（Procedure Linkage Table）地址通常位于低地址空间（比如0x40xxxxxx段），很多时候不会包含空字节。你可以直接使用PLT表中的函数地址来构造ROP链，比如调用system@plt而不是libc中的system函数地址（后者可能带高位空字节）。

5. 结合ASLR的随机性调整策略 #

如果目标系统开启了ASLR，libc的加载基址是随机的，但有些位的随机性有限。比如在64位系统中，libc基址的高12位通常是固定的（0x7f开头），而低52位随机。你可以尝试寻找那些随机部分不包含空字节的基址，或者通过信息泄露确定基址后，计算出无空字节的gadget偏移。

内容的提问来源于stack exchange，提问作者user9418529