[BUUCTF-pwn]——others_shellcode

最新推荐文章于 2025-05-19 23:44:53 发布

Y-peak

最新推荐文章于 2025-05-19 23:44:53 发布

阅读量1.7k

点赞数 8

CC 4.0 BY-SA版权

分类专栏： # BUUCTF

本文链接：https://blog.youkuaiyun.com/Y_peak/article/details/113796043

BUUCTF 专栏收录该内容

89 篇文章

订阅专栏

本文介绍了如何通过IDA Pro分析并利用int80汇编指令在BuUCTF-pwn挑战中，利用execve系统调用实现shellcode获取shell的过程，包括检查保护措施、理解系统调用号和参数传递方式。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

[BUUCTF-pwn]——others_shellcode

题目地址: https://buuoj.cn/challenges#others_shellcode

peak 小知识

写这道题之前, 大家首先要了解, 想要获得一个shell, 除了system("/bin/sh") 以外, 还有一种更好的方法, 就是系统调用中的 execve("/bin/sh", NULL, NULL)获得shell。我们可以在 Linxu系统调用号表 中找到对应的系统调用号,进行调用, 其中32位程序系统调用号用 eax 储存, 第一、二、三参数分别在 ebx 、ecx 、edx中储存。可以用 int 80 汇编指令调用。64位程序系统调用号用 rax 储存, 第一、二、三参数分别在 rdi 、rsi 、rdx中储存。可以用 syscall 汇编指令调用。

言归正传,我们来看看这道题
先checksec一下, 没什么32位程序,开启了NX保护
在这里插入图片描述
在IDA中，看蒙了。之前没遇到过。连个输出都没有,注意到getshell函数上面的result变量旁边的 eax。函数名叫getshell肯定是暗示在这里进行获得shell的。

在汇编中看看, 嘶发现有 int 80 指令。eax = 0FFFFFFFFh - 0FFFFFFF4h = 11。看上面函数也发现result也就是eax的值就是11
在这里插入图片描述
看下Linxu系统调用号表 11对应的就是 execve 可是ebx ecx edx的参数怎么办。

秉承着走一步写一步的想法。一运行竟然可以, 孩子也是吐了。完全不知道这道题考的什么, 不过多执行试试这个习惯还是很好的,就比如这次, 不就莫名其妙成功了嘛。

exploit

from pwn import *
p = remote('nde3.buuoj.cn', 28531)                                                                       
p.interactive()

希望能够找到ebx ecx edx寄存器对应参数的大佬, 可以在评论里面指教一下。我个人觉得pwndbg肯定可以查看,但是我的pwndbg最近有点问题。看看大佬们有没有其他方法。