首页 > 代码库 > SCTF2014_pwn400 writeup
SCTF2014_pwn400 writeup
int sub_804874A(){ unsigned __int8 v1; // [sp+1Fh] [bp-9h]@2 write(1, "1.New note\n", 0xBu); write(1, "2.Show notes list\n", 0x12u); write(1, "3.Show note\n", 0xCu); write(1, "4.Edit note\n", 0xCu); write(1, "5.Delete note\n", 0xEu); write(1, "6.Quit\n", 7u); write(1, "option--->> ", 0xCu); do v1 = getchar(); while ( v1 == 10 ); return v1;}
函数作用：
1.新建一个note。
2.遍历note。
3.查看note，会输出note的首地址。
4.编辑note的content，其中将输入的内容strcopy到content中发生溢出。
5.删除一个note，双向链表的指针更改时，可以实现DWORD SHOOT。
note结构：
4字节：指向自己的指针
4字节：flink
4字节：blink
64字节：title
32字节：type
256字节：content
delete函数：
free()成为shellcode跳板
思路：
要卸载中间note，所以先建立3个note。（其实两个也行，将第一个note的content伪装成note头）
在建立第三个note时将shellcode写入content。
布置要卸载的note的头部（自身地址、flink中写入shellcode地址、blink中写入free()got表地址）
我将node2的content布置为node头部
l32(ptr2+108)+l32(ptr3+108)+l32(free_got_addr-4)
ptr2+108 为node2的content起始地址
ptr3+108 为node3的content起始地址，即是shellcode地址
T1U~7AGKMQI%7D%7DN%60W@OG.png)
DECEQK$T%7BXK%5DZ1_Q(%60D.png)
找到GOT表中free()函数指针
v1+4=free_got_addr
*(free_got_addr)=shellcode__addr
v1=free_got_addr-4
exp:https://github.com/Minxin/exploit/blob/master/SCTF2014_pwn400.py
SCTF2014_pwn400 writeup
声明：以上内容来自用户投稿及互联网公开渠道收集整理发布，本网站不拥有所有权，未作人工编辑处理，也不承担相关法律责任，若内容有误或涉及侵权可进行投诉： 投诉/举报 工作人员会在5个工作日内联系你，一经查实，本站将立刻删除涉嫌侵权内容。