BUUCTF：cmcc_simplerop（write up）

0x01 文件分析

32位程序，开启NX、部分RELRO保护

0x02 运行

输入一串字符串

0x03 IDA

• main函数
  

存在栈溢出漏洞

0x04 思路

0x04-1 解法一

• 该题没有system函数也没有"/bin/sh"，也无法泄露函数真实地址
• 可利用int 80h系统调用

设置系统调用参数即可执行execve("\bin\sh",0,0)，获取shell
四个参数分别是eax、ebx、ecx、edx

• 利用ROPgadget --binary simplerop --only "int"找到int 80h地址为0x080493e1
  
• 利用ROPgadget --binary simplerop --only "pop|ret" | grep "eax"找到pop eax; ret地址为0x080bae06
  

可对eax进行赋值

• 利用ROPgadget --binary simplerop --only "pop|ret" | grep "ebx"找到pop edx; pop ecx; pop ebx; ret地址为0x0806e850
  

可对edx、ecx、ebx进行赋值

• 由于没有"/bin/sh"，需要利用read函数将"/bin/sh"写入bss段

没有开启地址随机化，因此可直接利用bss段地址0x080eb584

read函数地址0x0806cd50

0x04-2 解法二

• 使用mpr