攻防世界 Pwn Recho

最新推荐文章于 2023-05-10 19:50:56 发布

原创

最新推荐文章于 2023-05-10 19:50:56 发布 · 736 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#安全 #pwn

本文介绍PwnRecho1题目的详细解题过程，包括利用alarm函数劫持got表，通过syscall读取并输出flag，展示了ROP链条构造及pwntools的使用。

攻防世界 Pwn Recho

1.题目下载地址
2.checksec
3.IDA分析
4.exp

1.题目下载地址

点击下载

2.checksec

在这里插入图片描述

3.IDA分析

在这里插入图片描述
可以看到这个while是死循环
所以要学会使用pwntools的shutdown功能来退出循环
但是循环退出之后就不能再进入了
接下来要看一下漏洞在哪

这个题目有个明显后门，在data段发现有flag。可以将它read到bss段中，再通过write输出出来
在gdb动态调试时，分析alarm，发现有
在这里插入图片描述
有syscall系统调用
漏洞利用思路如下：

1. alrm函数got表劫持到syscall位置
1. open(‘flag’,READONLY)
1. 通过read将flag写入到bss段，之后再write输出

ROP链条：
syscall>>flag>>read>>write
ROP地址

└─$ ROPgadget --binary ./Recho --only 'pop|ret'                                                                                              148 ⨯ 1 ⚙
Gadgets information
============================================================
0x000000000040089c : pop r12 ; pop r13 ; pop r14 ; pop r15 ; ret
0x000000000040089e : pop r13 ; pop r14 ; pop r15 ; ret
0x00000000004008a0 : pop r14 ; pop r15 ; ret
0x00000000004008a2 : pop r15 ; ret
0x00000000004006fc : pop rax ; ret <--------------------
0x000000000040089b : pop rbp ; pop r12 ; pop r13 ; pop r14 ; pop r15 ; ret
0x000000000040089f : pop rbp ; pop r14 ; pop r15 ; ret
0x0000000000400690 : pop rbp ; ret
0x00000000004008a3 : pop rdi ; ret   <-----------------------
0x00000000004006fe : pop rdx ; ret   <------------------------
0x00000000004008a1 : pop rsi ; pop r15 ; ret          <---------------------
0x000000000040089d : pop rsp ; pop r13 ; pop r14 ; pop r15 ; ret
0x00000000004005b6 : ret

Unique gadgets found: 13

└─$ ROPgadget --binary ./Recho --only 'add|ret'

最低0.47元/天解锁文章