萌新带你开车上p站（二）

本文作者：萌新

前情提要：萌新带你开车上p站（一）

0x04flag

看题目描述似乎是一个和脱壳相关的逆向题目

按照给出的地址先下载过来

file看看

是个可执行文件

执行之

emm什么都看不出来，又没有源码

那载入gdb吧

emmm，没有符号表，无法反汇编

哦，对了，根据题目的提示这是加了壳的，所以先脱壳

这是什么壳呢？

Strings看看

upx的

这里简单介绍下upx：

UPX是一个著名的压缩壳,主要功能是压缩PE文件(比如exe,dll等文件),有时候也可能被病毒用于免杀.壳upx是一种保护程序。一般是EXE文件的一种外保护措施，主要用途：

1、让正规文件被保护起来，不容易被修改和破解。

2、使文件压缩变小。

3、保护杀毒软件安装程序，使之不受病毒侵害。

4、木马，病毒的保护外壳，使之难以为攻破

和很多壳比起来upx的手动脱壳也比较简单，但是本文主要学习pwn而不是脱壳，

如果有对upx手动脱壳有兴趣的话这里推荐一篇文章：https://blog.csdn.net/fawdlstty/article/details/8332227

我们这里直接自动脱壳就可以了

接下来再载入gdb

反汇编main后看到了一个地址

打印出来

这就是flag了

加壳与脱壳技术实践操作：http://www.hetianlab.com/cour.do?w=1&c=CCIDe9a2-7038-4d4f-951e-c5b068d31798

0x05passcode

看题目描述，编译时没有报error，那是不是会报warning呢

连上机器后先看看源码

从源码中可以看到

1.程序功能是先输入name，然后输入passcode1,passcode2，相当于输入一个用户名，两个密码

2，main中接连执行welcome,login，中间没有push,pop，二者ebp相同

3，login()中scanf接收输入的时候，passcode1，passcode2没有加上&取地址，又由于passcode1,passcode2没有被初始化，所以我们scanf输入数据时，数据被保存到哪儿是未知的，只是知道数据被保存到passcode1,passcode2的值指向的地址中去了。

考虑2和3，我们猜想是否可以通过控制name的内容进而控制passcode1，passcode2呢？毕竟name取100字节，三者的ebp又是相同的

不过具体是否可行，我们上gdb试试

图x

可以看到name地址为%ebp-0x70,passcode1地址为ebp-0x10,二者差0x70-0x10=96个字节。

Passcode2地址为%ebp-0xc,.name和passcode2从差0x70-0xc=100个字节，我们只能通过写name控制passcode1，但是不能控制passcode2

既然可以控制passcode1，那么思路就清楚了。

由源码逻辑可知，printf,scanf,fflush

我们控制passcode1的地址（name的最后4字节）为ffliush地址，在随后scanf(“%d”,passcode1)接收输入时我们输入system(“/bin/cat flag)的地址

这样当执行fflush时，将会执行system，从而读到flag

通过GOT表获取flush地址

在图x中可以看到调用system的地址为080485ea，不过在此之前还有传参的操作，所以实际上，地址应该为0x080485e3,十进制为134514147

从而构造出exp

总结一下，这里用到的技术叫做GOT覆写，就本题而言，是这样子的：

我们通过控制nane的最后四个字节，将passcode1的值改为fflush的地址，而在程序中，scanf后会调用fflush，而我们已经把system(“bin/cat flag”)的地址写到fflush中，覆盖了fflush在GOT表中的内容，所以当scanf调用时，会直接执行system打印flag，绕过了后面比较passcode1,passcode2的逻辑。