sleepywin的博客

Stack Canary：未启用栈保护，程序未使用栈金丝雀（Canary），意味着可以直接进行栈溢出攻击，不需要担心触发canaries检查。找到这个函数的地址 push开始的位置，就是这个函数进入程序执行的象征。查看文件pwn1的情况（使用checksec指令检查文件保护）gets()危险函数，会一直读取用户的输入，造成栈溢出。没有长度检查，会直接从标准输入读取数据到缓冲区。Stack Executable：栈可执行。就会发生溢出，覆盖栈中的其他数据。系统命令执行函数的标准特征。

由上述代码可知，需要将数组0-12装满，装什么都可以，将var[13]=17才能执行system("/bin/sh")返回what's your name。先连接看看有什么信息。运行脚本文件 可得到。

gets函数获取参数a，即用户输入，后经过fun函数，传入system函数执行，即command就是a。会把你的输入倒过来，即ls->sl ,cat flag->galf tac。双击system(a) 显示如下 需要知道command是怎么传入的。执行checksec命令，查看控制程序的命令。通过上述代码可知 这是实现字符串倒置代码。64位 用ida64位版本打开。发现关键函数system()附件下载 在kali里打开。双击fun()看看有什么。通过原始的数据可以知道。

需要绕过 ex:ls=l\s cat=c\at 空格也需要绕过：$IFS$9可以替换空格。黑名单里有ls cat等常用命令。

按正常方式走，发现指令被反着输出。

题目

题目

题目

题目

cat和空格都被过滤了，cat可以换成c\at ,空格可以换成$IFS$9。配合题目的下载附件，发现过滤了一些，一旦输入这些会自动关闭程序。ls被过滤了，可以使用l\s。linux环境下显示为。