题目链接:warmup_csaw_2016。 下载附件后,使用 IDA 反编译,定位到 main 函数,如下。 __int64 __fastcall main(int a1, char **a2, char **a3) { char s[64]; // [rsp+0h] [rbp-80h] BYRE
[buuctf pwn]warmup_csaw_2016 checksec一下,64位,没开栈溢出保护,可以利用 进入ida,有个gets能利用,然后v5的大小是64 然后看见一个40060D函数,是可以利用的system函数 所以用64+8填满缓冲区和rbp,然后接400611这个地址 from pwn import * p=remote('node5.buuoj.cn',26240) p.sendline(b'A'*72 + p...
官网:https://buuoj.cn/challenges#warmup_csaw_2016, 视频播放量 102、弹幕量 0、点赞数 4、投硬币枚数 0、收藏人数 2、转发人数 0, 视频作者 我是大傻子a, 作者简介 认识的人越多,我就越喜欢狗。 moneybox root flag : r00t{H4ckth3p14n3t},相关视频:Bandit Level 0
查看文件warmup_csaw_2016信息 拖入IDA分析,得到main函数。 __int64 __fastcall main(__int64 a1, char **a2, char **a3) { char s; // [rsp+0h] [rbp-80h] char v5; // [rsp+40h] [rbp-40h] write(1, "-Warm Up-\n", 0xAuLL); write(1, "WOW:", 4uLL); sprintf(&s, "%p\n"...
buu warmup_csaw_2016 查看文件类型 file target (已重命名目标文件为target) 64位elf 查看保护机制 checksec target 结果为没有开启保护机制 GDB~peda调试 >gdb target >start (出现程序运行时的数据) >pattern_create 300 复制粘贴输入后 读取rbp中的字符串,复制...
7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 被以下专辑收录,发现更多精彩内容 + 收入我的专辑 + 加入我的收藏 PWN学习 渗透测试初体验:DC-1靶场原创 ...
拿到文件,先checksec,没开启保护。 运行, IDA查看,main函数中,可解读,gets没有限制输入长度,存在溢出。 payload:
可以看到主要起作用的函数是main()和encrypt(),流程为main()中进行选择,其中只有1,encrypt可以用。可以看到其中有gets()存在栈溢出...攻击脚本如下:warmup_csaw_2016一、载入ida可以看到和上一题一样,还是一个主函数一个后门函数,参数覆盖retn即可可以看到get对应的缓冲区为40h,后门函数关键地址...
查看栈可以知道s距栈底为F,从f5的类C代码中也可以看到[rbp-Fh]即离栈底为F所以F+一个寄存器(rbp)(64位一个寄存器就是8个字节)的覆盖后就是retn的地址最终使用pwntools攻击脚本如下:warmup_csaw_2016一、载入ida可以看到和上一题一样,还是一个主函数一个后门函数,参数覆盖retn即可可以看到get对应的缓冲区为40...