OneGadget与Python集成：如何在Python脚本中调用one_gadget
项目地址: https://gitcode.com/gh_mirrors/on/one_gadget OneGadget是一款强大的工具，用于在libc.so.6中查找one gadget RCE（远程代码执行）漏洞。本文将详细介绍如何在Python脚本中集成和调用OneGadget，帮助安全研究人员和开发者更高效地进行漏洞分析和利用开发。
什么是OneGadget？
OneGadget是一个专门用于查找libc库中"one gadget"的工具。所谓"one gadget"，是指在libc库中存在的一段代码，当攻击者控制程序执行流到这段代码时，可以直接获得shell访问权限。这对于漏洞利用开发来说非常有价值。
OneGadget支持多种架构，包括x86_64、i386和aarch64等，能够快速定位并输出可用的one gadget及其约束条件。
安装OneGadget
在开始集成之前，首先需要安装OneGadget。可以通过以下步骤进行安装：
- 克隆仓库：
git clone https://gitcode.com/gh_mirrors/on/one_gadget
- 进入项目目录并安装依赖：
cd one_gadget
bundle install
- 安装gem包：
gem install one_gadget
安装完成后，可以通过在终端中输入one_gadget命令来验证安装是否成功。
OneGadget基本使用方法
在Python中调用OneGadget之前，让我们先了解一下它的基本使用方法。在终端中，OneGadget的基本用法如下：
one_gadget /path/to/libc.so.6
执行该命令后，OneGadget会分析指定的libc文件，并输出找到的one gadget信息，包括地址和约束条件。
从上图可以看到，OneGadget输出了多个可能的one gadget地址，每个地址都有相应的约束条件，如rcx == NULL或[rsp+0x40] == NULL等。这些约束条件是成功利用one gadget的关键。
在Python中调用OneGadget的方法
有多种方法可以在Python中调用OneGadget，下面我们将介绍两种常用的方法。
方法一：使用subprocess模块调用命令行
最简单的方法是使用Python的subprocess模块直接调用OneGadget命令行工具。这种方法的优点是实现简单，不需要额外的依赖。
import subprocess
def find_one_gadget(libc_path):
"""使用OneGadget查找libc中的one gadget"""
try:
result = subprocess.run(
['one_gadget', libc_path],
capture_output=True,
text=True,
check=True
)
return result.stdout
except subprocess.CalledProcessError as e:
print(f"调用OneGadget失败: {e.stderr}")
return None
# 示例用法
libc_path = "/lib/x86_64-linux-gnu/libc.so.6"
gadgets = find_one_gadget(libc_path)
if gadgets:
print("找到的one gadget:")
print(gadgets)
这种方法会返回OneGadget的原始输出，我们可以进一步解析这些输出，提取出one gadget的地址和约束条件。
方法二：使用正则表达式解析输出结果
为了更方便地使用OneGadget的输出结果，我们可以使用正则表达式来解析命令的输出，提取出有用的信息。
import subprocess
import re
def parse_one_gadget_output(output):
"""解析OneGadget的输出，提取地址和约束条件"""
gadgets = []
# 匹配one gadget地址和描述的正则表达式
pattern = re.compile(r'0x[0-9a-f]+ execve\("(/bin/sh|/bin/bash)", .+?\)')
# 匹配约束条件的正则表达式
constraint_pattern = re.compile(r'constraints:\s*(.+)')
lines = output.split('\n')
current_gadget = None
for line in lines:
match = pattern.search(line)
if match:
if current_gadget:
gadgets.append(current_gadget)
addr = line.split()[0]
desc = match.group(0)
current_gadget = {
'address': addr,
'description': desc,
'constraints': []
}
elif current_gadget and 'constraints:' in line:
constraint_match = constraint_pattern.search(line)
if constraint_match:
constraints = constraint_match.group(1).split(', ')
current_gadget['constraints'].extend(constraints)
if current_gadget:
gadgets.append(current_gadget)
return gadgets
# 示例用法
libc_path = "/lib/x86_64-linux-gnu/libc.so.6"
output = find_one_gadget(libc_path)
if output:
gadgets = parse_one_gadget_output(output)
print("解析后的one gadget:")
for i, gadget in enumerate(gadgets, 1):
print(f"Gadget {i}:")
print(f" 地址: {gadget['address']}")
print(f" 描述: {gadget['description']}")
print(f" 约束条件: {', '.join(gadget['constraints'])}")
print()
这个方法将原始输出解析为结构化的数据，方便在Python中进一步处理和使用。
高级用法：使用--near参数查找特定函数附近的gadget
OneGadget提供了一个非常有用的--near参数，可以用来查找特定函数附近的one gadget。这在某些漏洞利用场景中非常有用。
在Python中，我们可以很容易地添加对这个参数的支持：
def find_one_gadget_near(libc_path, symbol):
"""查找特定符号附近的one gadget"""
try:
result = subprocess.run(
['one_gadget', libc_path, '--near', symbol],
capture_output=True,
text=True,
check=True
)
return parse_one_gadget_output(result.stdout)
except subprocess.CalledProcessError as e:
print(f"调用OneGadget失败: {e.stderr}")
return None
# 示例：查找exit函数附近的one gadget
exit_gadgets = find_one_gadget_near(libc_path, "exit")
if exit_gadgets:
print("exit函数附近的one gadget:")
for i, gadget in enumerate(exit_gadgets, 1):
print(f"Gadget {i}: {gadget['address']} {gadget['description']}")
在漏洞利用脚本中集成OneGadget
现在，让我们看看如何将OneGadget集成到实际的漏洞利用脚本中。以下是一个简单的示例：
import subprocess
import re
class OneGadgetFinder:
def __init__(self):
pass
def find(self, libc_path, near=None):
"""查找libc中的one gadget"""
args = ['one_gadget', libc_path]
if near:
args.extend(['--near', near])
try:
result = subprocess.run(
args,
capture_output=True,
text=True,
check=True
)
return self._parse_output(result.stdout)
except subprocess.CalledProcessError as e:
print(f"OneGadget error: {e.stderr}")
return None
def _parse_output(self, output):
"""解析OneGadget输出"""
gadgets = []
pattern = re.compile(r'0x[0-9a-f]+ execve\("(/bin/sh|/bin/bash)", .+?\)')
constraint_pattern = re.compile(r'constraints:\s*(.+)')
lines = output.split('\n')
current_gadget = None
for line in lines:
match = pattern.search(line)
if match:
if current_gadget:
gadgets.append(current_gadget)
addr = line.split()[0]
desc = match.group(0)
current_gadget = {
'address': int(addr, 16), # 转换为整数
'description': desc,
'constraints': []
}
elif current_gadget and 'constraints:' in line:
constraint_match = constraint_pattern.search(line)
if constraint_match:
constraints = constraint_match.group(1).split(', ')
current_gadget['constraints'].extend(constraints)
if current_gadget:
gadgets.append(current_gadget)
return gadgets
# 漏洞利用示例
def exploit():
# 假设我们已经通过某种方式泄露了libc的基地址
libc_base = 0x7ffff7a0d000 # 示例地址，实际中需要动态获取
# 创建OneGadgetFinder实例
finder = OneGadgetFinder()
# 查找libc中的one gadget
libc_path = "/lib/x86_64-linux-gnu/libc.so.6"
gadgets = finder.find(libc_path)
if not gadgets:
print("未找到可用的one gadget")
return
# 选择第一个gadget（实际中可能需要根据约束条件选择最合适的）
chosen_gadget = gadgets[0]
gadget_addr = libc_base + chosen_gadget['address']
print(f"使用one gadget: 0x{gadget_addr:x}")
print(f"描述: {chosen_gadget['description']}")
print(f"约束条件: {', '.join(chosen_gadget['constraints'])}")
# 这里可以继续构建漏洞利用载荷...
if __name__ == "__main__":
exploit()
自动化脚本示例
下面是一个更完整的自动化脚本示例，它可以批量分析多个libc文件，并将结果保存到JSON文件中：
import subprocess
import re
import json
import os
from pathlib import Path
class OneGadgetAnalyzer:
def __init__(self, output_dir="one_gadget_results"):
self.output_dir = Path(output_dir)
self.output_dir.mkdir(exist_ok=True)
def analyze_libc(self, libc_path):
"""分析单个libc文件"""
print(f"分析 {libc_path}...")
# 调用OneGadget
try:
result = subprocess.run(
['one_gadget', libc_path],
capture_output=True,
text=True,
check=True
)
except subprocess.CalledProcessError as e:
print(f"分析失败: {e.stderr}")
return None
# 解析输出
gadgets = self._parse_output(result.stdout)
if not gadgets:
print("未找到one gadget")
return None
# 获取libc版本信息
version = self._get_libc_version(libc_path)
# 准备结果数据
result_data = {
"libc_path": libc_path,
"version": version,
"gadgets": gadgets,
"analysis_time": str(subprocess.run(
['date'], capture_output=True, text=True
).stdout.strip())
}
# 保存结果
filename = f"gadgets_{version.replace(' ', '_')}.json" if version else "gadgets_unknown.json"
output_path = self.output_dir / filename
with open(output_path, 'w') as f:
json.dump(result_data, f, indent=2)
print(f"结果保存到 {output_path}")
return result_data
def batch_analyze(self, libc_dir):
"""批量分析目录中的所有libc文件"""
libc_files = list(Path(libc_dir).glob("libc*.so*"))
results = []
for libc_file in libc_files:
result = self.analyze_libc(str(libc_file))
if result:
results.append(result)
return results
def _parse_output(self, output):
"""解析OneGadget输出"""
# 实现与前面相同的解析逻辑
gadgets = []
pattern = re.compile(r'0x[0-9a-f]+ execve\("(/bin/sh|/bin/bash)", .+?\)')
constraint_pattern = re.compile(r'constraints:\s*(.+)')
lines = output.split('\n')
current_gadget = None
for line in lines:
match = pattern.search(line)
if match:
if current_gadget:
gadgets.append(current_gadget)
addr = line.split()[0]
desc = match.group(0)
current_gadget = {
'address': int(addr, 16),
'description': desc,
'constraints': []
}
elif current_gadget and 'constraints:' in line:
constraint_match = constraint_pattern.search(line)
if constraint_match:
constraints = constraint_match.group(1).split(', ')
current_gadget['constraints'].extend(constraints)
if current_gadget:
gadgets.append(current_gadget)
return gadgets
def _get_libc_version(self, libc_path):
"""获取libc版本信息"""
try:
result = subprocess.run(
[libc_path, '--version'],
capture_output=True,
text=True,
check=True
)
# 从输出中提取版本信息
version_line = result.stdout.split('\n')[0]
return version_line.split()[-1] if version_line else None
except Exception as e:
print(f"获取版本信息失败: {e}")
return None
# 使用示例
if __name__ == "__main__":
analyzer = OneGadgetAnalyzer()
# 分析单个libc文件
# analyzer.analyze_libc("/lib/x86_64-linux-gnu/libc.so.6")
# 批量分析多个libc文件
# analyzer.batch_analyze("/path/to/libc/files")
总结
通过本文的介绍，我们了解了如何在Python脚本中集成和调用OneGadget工具。无论是简单地获取one gadget信息，还是构建复杂的漏洞利用脚本，OneGadget都能为我们提供强大的支持。
OneGadget的主要优势在于：
- 快速定位libc中的one gadget
- 提供详细的约束条件信息
- 支持多种架构和libc版本
- 可以通过命令行参数灵活调整搜索范围
结合Python的强大功能，我们可以构建出更加自动化和智能化的漏洞分析工具，提高漏洞利用开发的效率。
希望本文对你理解和使用OneGadget有所帮助！如果你有任何问题或建议，欢迎在项目的issue中提出。
创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
