BUUCTF get_started_3dsctf_2016 wp。

BUUCTF get_started_3dsctf_2016 题目分析

BUUCTF的get_started_3dsctf_2016是一道经典的栈溢出题目，考察基础的ROP（Return-Oriented Programming）技术利用。题目提供了一个32位ELF文件，开启了NX保护，但未开启PIE和ASLR。目标是利用栈溢出漏洞获取远程服务器的shell。

漏洞定位与利用思路

通过逆向分析或动态调试，可以快速定位到main函数中存在栈溢出漏洞。程序在0x08048A20处调用gets函数读取用户输入，但未限制输入长度，导致可以覆盖返回地址。

由于NX保护开启，直接注入shellcode不可行，因此需要构造ROP链调用系统函数（如system或execve）实现攻击。题目中未直接提供system函数，但可以通过libc中的mprotect修改内存权限后执行shellcode，或利用现有的gets函数和write函数泄露libc地址。

EXP构造步骤

1. 溢出点确认

通过动态调试（如GDB）或静态分析（如IDA）确认溢出点偏移。输入一串特定模式的字符（如cyclic 200）触发崩溃，观察覆盖到返回地址的偏移量。经测试，偏移量为60字节。

2. 利用现有函数

程序中存在write函数（0x0806E270），可以用于泄露libc地址。通过ROP链调用write，输出GOT表中某个函数的地址（如write本身），从而计算libc基址。

3. 泄露libc地址

构造ROP链调用`write(1, write_g

BUUCTF get_started_3dsctf_2016 题目分析

BUUCTF的get_started_3dsctf_2016是一道经典的栈溢出题目，考察基础的ROP（Return-Oriented Programming）技术利用。题目提供了一个32位ELF文件，开启了NX保护，但未开启PIE和ASLR。目标是利用栈溢出漏洞获取远程服务器的shell。

漏洞定位与利用思路

通过逆向分析或动态调试，可以快速定位到main函数中存在栈溢出漏洞。程序在0x08048A20处调用gets函数读取用户输入，但未限制输入长度，导致可以覆盖返回地址。

由于NX保护开启，直接注入shellcode不可行，因此需要构造ROP链调用系统函数（如system或execve）实现攻击。题目中未直接提供system函数，但可以通过libc中的mprotect修改内存权限后执行shellcode，或利用现有的gets函数和write函数泄露libc地址。

EXP构造步骤

1. 溢出点确认

通过动态调试（如GDB）或静态分析（如IDA）确认溢出点偏移。输入一串特定模式的字符（如cyclic 200）触发崩溃，观察覆盖到返回地址的偏移量。经测试，偏移量为60字节。

2. 利用现有函数

程序中存在write函数（0x0806E270），可以用于泄露libc地址。通过ROP链调用write，输出GOT表中某个函数的地址（如write本身），从而计算libc基址。

3. 泄露libc地址

构造ROP链调用`write(1, write_g