pwnable.kr之passcode

passcode

下载下来的源代码

从源代码分析看出来，在scanf的时候passcode1和passcode2没有加地址符号，因此会存在题目中所说的警告。

这道题木一共两个函数，welcome和Login,在welcome中输入了name字符串，然后在Login中输入了passcode1和passcode2，在passcode1=338150（0x528E6）并且passcode2=13371337(0xCC07C9)的时候返回shell，得到flag。

想当然地：

竟然发现段错误。什么鬼。于是自己写了一个python脚本(以为是自己输入338150不对，要用python输入十六进制。。。)

后来发现竟然不行。

然后想到，能不能用输入的name去覆盖passcode1和passcode2。但是name和passcode1和passcode2是在两个函数中，因此好像也不行，name输入的地方也没有格式化字符串漏洞。

只有那个scanf函数，passcode1和passcode2没有用取地址符号了。怎么用呢？

这里有个知识点：如果没有用取地址符，程序会使用栈上的数据作为指针存放输入的数据。

接下来就开始调试程序吧

ps: 听说peda很好用，于是乎我也装了一个玩玩，果然，真心好用

先看一下有那些函数。

然后welcome下断点，分析welcome函数

这里可以看到welcome函数的ebp是0xbffff088，第二个红箭头说明用了GS保护，这两点在后面都会说到。

继续执行

在这个地址中是输入name的格式化字符串，那么下面的edx就是name的地址了，先记下来

name : [ebp-x070]

看到输入的aa在0xbffff018

继续

在这里就会看到，程序对ebp-0xc的地方做了检查，如果和前面的对比一下。就会发现，如果这个地方的值被修改了，就会call [email protected],从IDA中也可看到

继续进入login函数

奇怪的事情发生了，login的ebp也是0xbffff088，这不是和开头说的welcome的ebp一样吗？

先记下来，继续

到这里又是一个scanf，ebp-0x10就是passcode1的地址，这里要注意了，既然两个函数的ebp是一样的，那么name和passcode1在一个栈空间内，想到了什么？…

什么也没想到？那就继续

在输入一个passcode1后竟然崩溃了

scanf什么时候会崩溃呢？联系前面说的，写scanf函数的时候没有加地址符号，那一定是写到了不可写的地址上（说明这个时候passcode1指向了一个不可写的地址，因为没有初始化嘛！）。那么什么时候这个地址可写呢？

要用到一个知识点了：因为GOT表是可写的。

看一下Login函数中，调用了fflush、printf、exit

前面说的passcode1和name是在一个栈空间的，计算一下，name和passcode1相差96个字节，所以name后4个字节正好可以覆盖到passcode1。因此可以把passcode1的地址覆盖成fflush或者printf或者exit的地址，然后利用scanf函数把system的地址覆写过去。这样等调用fflush或者printf或者exit的就调用成了system。（可以调用system函数的原因是，linux没有对code段进行随机化）

思路明确了，接下来就是找地址了。

从IDA中看GOT区域，可以看到利用system直接读flag的地址：080485E3

这三个地址都可以用。

这里就用printf 吧0804a000

又因为scanf的时候用的%d所以要把system的地址转换成十进制

system:080483E3    == 134514147（十进制）

payload = ‘a’*96 +‘\x00\xa0\x04\x08’+’\n’+’134514147\n’

python -c "print (‘a‘*96+‘\x00\xa0\x04\x08‘+‘\n‘+‘134514147\n‘)" | ./passcode

本地测试

pwnable.kr测试

flag: Sorry mom.. I got confused aboutscanf usage :(

参考：

http://jing0107.lofter.com/post/1cbc869f_8b3d8a5

http://www.frog0d.ml/pwnable-kr-toddlers-bottle-passcode/

http://blog.yiz96.com/archives/34

http://bluereader.org/article/47636676

http://naphthalol66.rssing.com/chan-60259461/all_p5.html#item91

http://rickgray.me/2015/07/24/toddler-s-bottle-writeup-pwnable-kr.html

时间： 2024-10-09 20:03:53

pwnable.kr之passcode的相关文章

pwnable.kr的passcode

前段时间找到一个练习pwn的网站,pwnable.kr 这里记录其中的passcode的做题过程,给自己加深印象. 废话不多说了,看一下题目, 看到题目,就ssh连接进去,就看到三个文件如下 看了一下我们的用户名,并不能直接查看flag这个文件.查看passcode.c的源码看一下 #include <stdio.h> #include <stdlib.h> void login(){ int passcode1; int passcode2; printf("enter

pwnable.kr 之 passcode write up

先看源码: #include <stdio.h> #include <stdlib.h> void login(){ int passcode1; int passcode2; printf("enter passcode1 : "); scanf("%d", passcode1); fflush(stdin); // ha! mommy told me that 32bit is vulnerable to bruteforcing :)

pwnable.kr第五题：passcode

0x000打开环境 ①查看源码: 1 #include 2 #include 3 4 void login(){ 5 int passcode1; 6 int passcode2; 7 8 printf("enter passcode1 : "); 9 scanf("%d", passcode1); 10 fflush(stdin); 11 12 // ha! mommy told me that 32bit is vulnerable to bruteforcin

【LINUX】pwnable.kr cmd1 writeup

[email protected]:~$ ls cmd1  cmd1.c  flag [email protected]:~$ cat cmd1.c #include <stdio.h> #include <string.h> int filter(char* cmd){ int r=0; r += strstr(cmd, "flag")!=0; r += strstr(cmd, "sh")!=0; r += strstr(cmd, &quo

【pwnable.kr】bof

pwnable从入门到放弃,第三题. Download : http://pwnable.kr/bin/bofDownload : http://pwnable.kr/bin/bof.c Running at : nc pwnable.kr 9000 很简单的一道栈溢出题目. 依然先读代码: #include <stdio.h> #include <string.h> #include <stdlib.h> void func(int key){ char overfl

【pwnable.kr】leg

pwnable从入门到放弃第八题. Download : http://pwnable.kr/bin/leg.cDownload : http://pwnable.kr/bin/leg.asm ssh [email protected] -p2222 (pw:guest) 先下载这两个文件:leg.c #include <stdio.h> #include <fcntl.h> int key1(){ asm("mov r3, pc\n"); } int key2

【PWN】pwnable.kr echo1 writeup

#Exploit for [email protected] #@Windcarp 2015.07.23 from pwn import * #init context(arch = 'amd64', os = 'linux') local=False if local: p = process("./echo1") libc = ELF("/lib/x86_64-linux-gnu/libc-2.19.so") else: p = remote("pwn

【pwnable.kr】 asm

一道写shellcode的题目, #include <stdio.h> #include <string.h> #include <stdlib.h> #include <sys/mman.h> #include <seccomp.h> #include <sys/prctl.h> #include <fcntl.h> #include <unistd.h> #define LENGTH 128 void sa

【pwnable.kr】 codemap

pwnable新的一题. download: http://pwnable.kr/bin/codemap.exe ssh [email protected] -p2222 (pw:guest) 这道题虽然是在pwnable下,但是是一道逆向题... //前web狗膜一发二进制大佬 根据提示,需要查看 0x403E65 运行时,寄存器 EAX,EBX 的内容. 先不考虑运行的内容,先看程序.首先这个程序没有加壳,直接可以用ida查看内容. 然后可以看到程序的框架,在main函数中,默默按下F5..