0x0 程序保护和流程
保护:
流程:
main()
输入1进入go(),输入2进入hint(),输入3退出程序。
go()
根据输入数字的大小确定check()的递归次数。
可以发现存在栈溢出漏洞。
hint()
如果unk_20208C的值不为零就输出system函数的地址。
0x1 利用过程
1.因为程序开启了pie所以无法通过栈溢出泄露地址。只能看一下能否修改unk_20208C的值输出system函数的地址,但是找不到修改unk_20208C的方法。
2.只能看一下system函数的地址是否在内存中出现过。
发现只要进入hint()就会将system函数的地址存放到当前rbp-0x110的位置。而go()中的v5变量也位于rbp-0x110的位置,并且只要输入的level小于等于零v5就不会被初始化。也就是调用完hint()后再调用go()的时候只要输入的level小于等于零v5的值就是system函数的地址。之后还可以输入一个有符号的值与v5进行计算,只要减去system函数的基地址在加上one_gadget的地址就可以在栈上留下one_gadget的地址了。由于地址的大小肯定比100大,所以在第100次时的rsp+0x18的地方存放着one_gadget的地址。
就像上图一样,此时rbp=0x7FFC438DCD50。
3.但是如何使得ret指令指向rsp+0x18的位置就有点难度了,因为至今为止没有泄露过libc和elf的基地址,无法使用"pop | ret"。通过查找资料知道了vsyscall这个每次加载不会改变其地址的gadget。