DASCTF X CBCTF 2022九月挑战赛 appetizer

Mauricio_Davis

已于 2022-10-05 13:37:22 修改

阅读量352

点赞数 1

分类专栏： pwn刷题wp 文章标签： python linux 开发语言

于 2022-10-04 22:40:10 首次发布

本文链接：https://blog.csdn.net/qq_65147345/article/details/127167472

版权

程序分析

开启了沙盒ban了execve
fun函数可以覆盖到rbp的位置

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-01uqTxmY-1664893771226)(./图片/func.png)]

check函数会检查该位置是否有下面的字符串，小端序记得反过来写

在这里插入图片描述

白给了程序的一个地址(end)，通过减去偏移拿到程序的基地址
调试发现最后一个read可以改写rbp以及rsp

在这里插入图片描述

思路

func函数可以让我们改写rbp，且通过最后一个read可以实现任意地址写入0x10的数据，但是开启了pie，且我们是后面才拿到的程序基地址且禁止了系统调用，所以打orw
将rop链布置到end中，泄露出libc地址，通过最后一个read进行栈迁移
在第一个链中输出完之后再执行一个read向end写入第二个rop链
第二个rop链就是常规的open，read，puts了

注：orw：在这里指代程序开启了orw，采用open打开flag再写入内存，最后输出的利用

exp


from pwn import *
context.update(os='linux',arch='amd64',log_level='debug')
#c=remote(b'node4.buuoj.cn',29430)
c=process(b'./appetizer')

libc=ELF(b'./libs/2.31-0ubuntu9_amd64/libc-2.31.so')
elf=ELF(b'./appetizer')

gdb.attach(c,'''




'''</