BUUCTF pwn rip WriteUp-CSDN博客

本文链接：https://blog.csdn.net/weixin_49125123/article/details/134902907

在这里插入图片描述

下载附件，分析文件

在这里插入图片描述

可以看到是64位ELF文件，elf可以理解为Linux中的可执行文件，就像Windows中的exe文件

用ida打开文件

查看main函数的伪代码，可以看到有一个15位的字符数组，该数组通过gets函数传值
在这里插入图片描述

还有一个名为fun的函数，该函数返回一个shell
在这里插入图片描述

这里main函数没有调用fun函数，该如何执行fun函数，以达到获取shell的目的呢？

函数的局部变量会存放在他的栈中，在main函数中字符数组s在栈中的空间就是15字节

程序栈结构，esp指向的是栈顶：

在这里插入图片描述

回到main函数中，字符数组 s 通过gets方式传参获得值

s在上图中Local Variables的位置

通过ida知道，s距离rbp(即上图中的ebp)距离为15字节

在这里插入图片描述

由于gets可以不限长度无限输入数据，我们可以构造超出数组长度的数据，使数据溢出到Caller's ebp，然后继续溢出到Return Address的位置，如果让Return Address指向一个危险的函数，那么就可以通过危险函数获取目标机器的权限

之前说到的危险函数 fun() ，他的地址就是0x401186

在这里插入图片描述

需要先传入15个字符，使数据到rbp

然后由于是64位的系统，填充8字节，即1字的数据填满rbp

最后再在Return Address处传入fun函数的地址0x401186即可执行fun函数，获取系统权限

这里用python中的pwntools模块发送数据

from pwn import *
p = remote("node4.buuoj.cn",26666)
payload = b'a' * (15+8)
payload += p64(0x401186+1)
p.sendline(payload)
p.interactive()

payload+1是为了堆栈平衡，关于堆栈平衡详细可以看这篇文章：pwn64位amd构造payload时间的堆栈平衡问题
成功获取权限

在这里插入图片描述