google ctf 2017 inst_prof writeup

最新推荐文章于 2024-06-06 09:52:23 发布

Anciety

最新推荐文章于 2024-06-06 09:52:23 发布

阅读量1.1k

点赞数

分类专栏： pwn ctf

本文链接：https://blog.csdn.net/qq_29343201/article/details/73612594

版权

该博客详细分析了Google CTF 2017中的一道题目，涉及一个二进制文件，允许每次输入4字节的shellcode执行。博主探讨了寄存器值的变化，特别是r14和r15如何用于保存状态，并提出了利用rop链构造shellcode的方法来解决这个挑战。文章最后提供了exp.py的实现，但指出了一些改进的空间。

摘要由CSDN通过智能技术生成

题目

题目本身比较神奇，当时看到这道题的时候还懵了一下，一下子没有太好的思路，不过后两天还有考试所以也没太静下心来想，今天刚考完了再来看这道题感觉其实难度并不是很大。

题目给出了一个二进制文件，本能的checksec:

[*] '/home/vagrant/ctf/contests/googlectf-2017/inst_prof/inst_prof'
    Arch:     amd64-64-little
    RELRO:    Partial RELRO
    Stack:    No canary found
    NX:       NX enabled
    PIE:      PIE enabled

partial relro，很有意思，不过其实根本没卵用，233.

看看逻辑：

int __cdecl __noreturn main(int argc, const char **argv, const char **envp)
{
  if ( write(1, "initializing prof...", 0x14uLL) == 20 )
  {
    sleep(5u);
    alarm(0x1Eu);
    if ( write(1, "ready\n", 6uLL) == 6 )
    {
      while ( 1 )
        do_test();
    }
  }
  exit(0);
}

main函数很显然，就是死循环执行do_test，再看do_test

int do_test()
{
  char *v0; // rbx@1
  char v1; // al@1
  unsigned __int64 v2; // r12@1
  unsigned __int64 buf; // [sp+8h] [bp-18h]@1

  v0 = (char *)alloc_page();
  *(_QWORD *)v0 = *(_QWORD *)"¦";
  *((_DWORD *)v0 + 2) &#